CVE-2026-50162
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
oras-go w wersjach przed 2.6.1 zawiera lukę w funkcji resolveWritePath(), która nie uwzględnia dowiązań symbolicznych. Pozwala to atakującemu na ominięcie zabezpieczenia AllowPathTraversalOnWrite=false i zapis pliku poza katalogiem roboczym poprzez kontrolowany tytuł blobu.
Ocena ryzyka
Atakujący może zapisać plik w dowolnej lokalizacji na serwerze, co może prowadzić do nadpisania krytycznych plików lub wykonania złośliwego kodu.
Rekomendacja
Zaktualizuj oras-go do wersji 2.6.1 lub nowszej, która zawiera poprawkę.
Inne podatności w oras-go
Zobacz wszystkie- GHSA-vh4v-2xq2-g5cgŚrednie
Podatność w bibliotece ORAS Go umożliwia przekazywanie poświadczeń rejestru skonfigurowanych dla jednego źródła do innego źródła HTTP podczas przekierowań rejestru. Problem występuje podczas pobierania manifestów lub metadanych.
- CVE-2026-50163Wysokie
Podatność w bibliotece oras-go (wersje przed 2.6.2) umożliwia atakującemu wykorzystanie dowiązań twardych do odczytu lub modyfikacji plików poza katalogiem wypakowania, takich jak .env, .git/config, .aws/credentials i ~/.ssh/config.
- CVE-2026-50151Wysokie
Podatność w bibliotece oras-go (Go) do zarządzania artefaktami OCI. Podczas przesyłania dużych obiektów blob, klient podąża za nagłówkiem Location kontrolowanym przez rejestr, ponownie używając nagłówka Authorization, co pozwala złośliwemu rejestrowi na przekierowanie i kradzież poświadczeń.
- CVE-2026-48978Niskie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, resolveWritePath() in content/file/file.go uses a lexical filepath.Rel check for workingDir and does not account for symlink traversal, so when AllowPathTraversalOnWrite=false an attacker-controlled blob title through ocispec.AnnotationTitle such as out/pwn.txt can follow a workingDir symlink out -> /some/outside/dir and cause pushFile() to create /some/outside/dir/pwn.txt outside workingDir. This issue is fixed in version 2.6.1.