Rekorはソフトウェアサプライチェーンの透明性ログを提供するシステムです。バージョン1.4.3以下では、entryの実装が空のspec.messageを持つ提案されたエントリを正規化する際に、攻撃者が制御する入力によりパニックを引き起こし、nilポインタ参照が発生する可能性があります。関数validate()はmessageが空の場合にnil（成功）を返し、その結果sign1Msgが初期化されず、続いてCanonicalize()がv.sign1Msg.Payloadをデリファレンスします。cose/v0.0.1タイプの不正な提案エントリによってRekorプロセス内のスレッドでパニックが引き起こされます。スレッドは回復されるため、クライアントは500エラーメッセージを受け取りサービスは継続されるため、可用性への影響が最小限に抑えられます。この問題はバージョン1.5.0で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。