Warn when non-default TUF mirror URL is configured
Los mantenedores suelen responder en 2 días
@anithapriyanatarajan ya está trabajando en esto.
Desde el 28/5/2026.
Evaluación
Este issue todavía no se ha evaluado.
Descripción
Summary
When signers.x509.tuf.mirror.url is set to a non-default value, Chains should log a prominent warning that the trust boundary has been expanded. This setting controls where the TUF root metadata (root.json) is fetched from — effectively a trust-root selector.
The setting exists for legitimate air-gapped deployments with local Fulcio + TUF mirrors, but operators should be aware of the security implications.
Proposal
- Log a warning at startup when
signers.x509.tuf.mirror.urlis non-default — e.g.: "Custom TUF mirror URL configured. The TUF root will be fetched from [URL]. This setting is intended for air-gapped environments with a local Fulcio deployment and TUF mirror." - Add URL parsing / sanity checks — reject obviously invalid URLs, log scheme/host for visibility
- Document in the security/trust model docs that this setting expands the trust boundary and is meant for air-gapped environments only
Context
Reported via GHSA-jqc2-g622-rrfg. The setting passes the URL to http.Get() without validation (pkg/chains/signing/x509/x509.go:169). While exploitation requires write access to the chains-config ConfigMap (which already grants broad control over Chains behavior), surfacing a warning makes misconfiguration or compromise more visible to operators.
Related: #1661 (trust model documentation)
/kind feature
- Lenguaje dominante
- Go
- Estrellas
- 279
- Forks
- 171
- Merge medio
- 2 d 4 h
- PR fusionados (30 d)
- 70
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de tektoncd/chains
-
Add missing fields in `config.md` docsPosiblemente ocupada @cvas22 la tomó hace 19 días. Abiertokind/feature lifecycle/frozen
Dificultad 1/5 1-3 horas Aptitud para principiantes 65/100
tektoncd/chains#748 · 3 comentarios ·
Los mantenedores suelen responder en 2 días
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 42/100
tektoncd/chains#2024 · 2 reacciones ·
Los mantenedores suelen responder en 2 días
-
Bug: MarkSigned called despite signer-load or format-not-found failures (signed=true with no signature)Posiblemente ocupada @anithapriyanatarajan la tomó hace 119 días. Abiertokind/bug
tektoncd/chains#1796 · 1 asignado ·
Los mantenedores suelen responder en 2 días
-
Warn or block when OCI storage uses result-derived registry without storage.oci.repositoryPosiblemente ocupada @ahmedbektic la tomó hace 39 días. Abiertokind/feature
Dificultad 3/5 1-2 días Aptitud para principiantes 62/100
Los mantenedores suelen responder en 2 días
-
kind/feature
Dificultad 4/5 3-5 días Aptitud para principiantes 45/100
Los mantenedores suelen responder en 2 días
Todos los issues de tektoncd/chains
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
Case detail: main-column section headers are hard to distinguish from body textPosiblemente ocupada @yubessy la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
ubie-oss/hecatoncheires#347 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
-
[OperatorHub] Add OLM installation method to the documentation #1193Posiblemente ocupada @NiccoloFei la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
cloudnative-pg/plugin-barman-cloud#1233 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Los mantenedores suelen responder en 1 día