CVE-2026-50151
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece oras-go (Go) do zarządzania artefaktami OCI. Podczas przesyłania dużych obiektów blob, klient podąża za nagłówkiem Location kontrolowanym przez rejestr, ponownie używając nagłówka Authorization, co pozwala złośliwemu rejestrowi na przekierowanie i kradzież poświadczeń.
Ocena ryzyka
Ryzyko wycieku poświadczeń do atakowanego punktu końcowego, co może prowadzić do nieautoryzowanego dostępu do rejestrów OCI i związanych z nimi zasobów.
Rekomendacja
Zaktualizuj bibliotekę oras-go do wersji 2.6.1 lub nowszej oraz upewnij się, że klient nie ufa nagłówkom Location z niezaufanych rejestrów.
Inne podatności w oras-go
Zobacz wszystkie- GHSA-vh4v-2xq2-g5cgŚrednie
Podatność w bibliotece ORAS Go umożliwia przekazywanie poświadczeń rejestru skonfigurowanych dla jednego źródła do innego źródła HTTP podczas przekierowań rejestru. Problem występuje podczas pobierania manifestów lub metadanych.
- CVE-2026-50163Wysokie
Podatność w bibliotece oras-go (wersje przed 2.6.2) umożliwia atakującemu wykorzystanie dowiązań twardych do odczytu lub modyfikacji plików poza katalogiem wypakowania, takich jak .env, .git/config, .aws/credentials i ~/.ssh/config.
- CVE-2026-50162Średnie
oras-go w wersjach przed 2.6.1 zawiera lukę w funkcji resolveWritePath(), która nie uwzględnia dowiązań symbolicznych. Pozwala to atakującemu na ominięcie zabezpieczenia AllowPathTraversalOnWrite=false i zapis pliku poza katalogiem roboczym poprzez kontrolowany tytuł blobu.
- CVE-2026-48978Niskie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, registry/remote/repository.go in blobStore.completePushAfterInitialPost follows a registry-controlled Location header during monolithic blob upload and reuses the Authorization header from the initial POST request for the subsequent PUT request, allowing a malicious registry to return a cross-host Location and receive the caller's credentials at an attacker-controlled endpoint. This issue is fixed in version 2.6.1.