CVE-2026-48978
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku SSRF, który może ujawnić wrażliwe dane z wewnętrznych zasobów sieciowych, takich jak metadane chmury.
Rekomendacja
Zaleca się natychmiastową aktualizację oras-go do wersji 2.6.1 lub nowszej.
Inne podatności w oras-go
Zobacz wszystkie- CVE-2026-85732Średnie
Biblioteka oras-go przed wersją 2.6.2 nie waliduje schematu, hosta ani portu adresu URL pochodzącego z nagłówka Link kontrolowanego przez rejestr. Podczas operacji paginacji (Tags, Referrers, Repositories) wykonywane jest żądanie GET do adresu wybranego przez atakującego, co umożliwia ślepą podatność SSRF przeciwko usługom wewnętrznym.
- CVE-2026-85731Wysokie
oras-go przed wersją 2.6.2 pozwala na zapis poza katalogiem roboczym podczas ekstrakcji warstw OCI oznaczonych io.deis.oras.content.unpack=true. Złośliwe archiwum może utworzyć łańcuch dowiązań symbolicznych prowadzący do dowolnej ścieżki i nadpisać pliki, nawet gdy AllowPathTraversalOnWrite jest wyłączone.
- GHSA-vh4v-2xq2-g5cgŚrednie
Podatność w bibliotece ORAS Go umożliwia przekazywanie poświadczeń rejestru skonfigurowanych dla jednego źródła do innego źródła HTTP podczas przekierowań rejestru. Problem występuje podczas pobierania manifestów lub metadanych.
- CVE-2026-50163Wysokie
Podatność w bibliotece oras-go (wersje przed 2.6.2) umożliwia atakującemu wykorzystanie dowiązań twardych do odczytu lub modyfikacji plików poza katalogiem wypakowania, takich jak .env, .git/config, .aws/credentials i ~/.ssh/config.
- CVE-2026-50162Średnie
oras-go w wersjach przed 2.6.1 zawiera lukę w funkcji resolveWritePath(), która nie uwzględnia dowiązań symbolicznych. Pozwala to atakującemu na ominięcie zabezpieczenia AllowPathTraversalOnWrite=false i zapis pliku poza katalogiem roboczym poprzez kontrolowany tytuł blobu.
- CVE-2026-50151Wysokie
Podatność w bibliotece oras-go (Go) do zarządzania artefaktami OCI. Podczas przesyłania dużych obiektów blob, klient podąża za nagłówkiem Location kontrolowanym przez rejestr, ponownie używając nagłówka Authorization, co pozwala złośliwemu rejestrowi na przekierowanie i kradzież poświadczeń.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, auth.Client follows the realm URL from a registry's WWW-Authenticate: Bearer challenge without validating the scheme or host, allowing a malicious or compromised registry to cause SSRF to internal networks such as http://169.254.169.254/, http://10.0.0.x/, and http://127.0.0.1/, or to downgrade a registry contacted over https:// to an http:// token endpoint in registry/remote/auth/client.go through Client.Do(), Client.fetchBearerToken(), fetchDistributionToken, and fetchOAuth2Token. This issue is fixed in version 2.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS