CVE-2026-101295
WysokieCVSS 7.3Streszczenie
Podatność na path traversal / dowolny zapis plików w ekstrakcji obrazów katalogów operatorów w oc-mirror. Podczas dublowania katalogów operatorów przy użyciu ścieżki v1 (--v1) lub ścieżki OCI (--use-oci-feature), oc-mirror wyodrębnia wpisy tar z warstw obrazów katalogów bez walidacji, czy ścieżki plików rozwiązują się w obrębie docelowego katalogu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zapisu plików w dowolnych lokalizacjach na serwerze, co może prowadzić do nadpisania krytycznych plików i potencjalnego wykonania kodu.
Rekomendacja
Zaleca się aktualizację oc-mirror do wersji zawierającej poprawkę walidacji ścieżek podczas ekstrakcji.
Inne podatności w oc-mirror
Zobacz wszystkie- CVE-2026-96577Wysokie
W narzędziu oc-mirror podczas operacji mirrorowania wbudowany lokalny rejestr pamięci podręcznej wiąże się ze wszystkimi interfejsami sieciowymi bez uwierzytelniania i szyfrowania, zamiast ograniczać dostęp do lokalnego systemu. Nieuwierzytelniony atakujący z sąsiedniej sieci może połączyć się z odsłoniętą usługą, aby wypchnąć zmodyfikowane obrazy kontenerów, usunąć obrazy z pamięci podręcznej lub uzyskać dostęp do mirrorowanej zawartości.
- CVE-2026-75939Wysokie
W narzędziu openshift/oc-mirror występuje błąd weryfikacji podpisów obrazów wydania PGP — narzędzie sprawdza błędy podpisu przed przetworzeniem całego podpisanego ciała, co pozwala obejść weryfikację podpisu. Zdalny atakujący, przechwytując lub manipulując ruchem sieciowym do punktu końcowego podpisów, może spreparować wiadomość PGP z prawidłowym identyfikatorem klucza wydania Red Hat, ale sfałszowanym podpisem, co pozwala narzędziu oc-mirror zaakceptować i zmirrorować złośliwy ładunek wydania do odłączonego rejestru.
Oryginalny opis (angielski, źródło NVD)
Path traversal / arbitrary file write in oc-mirror's operator catalog image extraction. When mirroring operator catalogs using either the legacy v1 path (--v1) or the OCI feature path (--use-oci-feature), oc-mirror extracts tar entries from catalog image layers without validating that file paths resolve within the intended destination directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS