CVE-2026-50162
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
oras-go w wersjach przed 2.6.1 zawiera lukę w funkcji resolveWritePath(), która nie uwzględnia dowiązań symbolicznych. Pozwala to atakującemu na ominięcie zabezpieczenia AllowPathTraversalOnWrite=false i zapis pliku poza katalogiem roboczym poprzez kontrolowany tytuł blobu.
Ocena ryzyka
Atakujący może zapisać plik w dowolnej lokalizacji na serwerze, co może prowadzić do nadpisania krytycznych plików lub wykonania złośliwego kodu.
Rekomendacja
Zaktualizuj oras-go do wersji 2.6.1 lub nowszej, która zawiera poprawkę.
Inne podatności w oras-go
Zobacz wszystkie- CVE-2026-85732Średnie
Biblioteka oras-go przed wersją 2.6.2 nie waliduje schematu, hosta ani portu adresu URL pochodzącego z nagłówka Link kontrolowanego przez rejestr. Podczas operacji paginacji (Tags, Referrers, Repositories) wykonywane jest żądanie GET do adresu wybranego przez atakującego, co umożliwia ślepą podatność SSRF przeciwko usługom wewnętrznym.
- CVE-2026-85731Wysokie
oras-go przed wersją 2.6.2 pozwala na zapis poza katalogiem roboczym podczas ekstrakcji warstw OCI oznaczonych io.deis.oras.content.unpack=true. Złośliwe archiwum może utworzyć łańcuch dowiązań symbolicznych prowadzący do dowolnej ścieżki i nadpisać pliki, nawet gdy AllowPathTraversalOnWrite jest wyłączone.
- GHSA-vh4v-2xq2-g5cgŚrednie
Podatność w bibliotece ORAS Go umożliwia przekazywanie poświadczeń rejestru skonfigurowanych dla jednego źródła do innego źródła HTTP podczas przekierowań rejestru. Problem występuje podczas pobierania manifestów lub metadanych.
- CVE-2026-50163Wysokie
Podatność w bibliotece oras-go (wersje przed 2.6.2) umożliwia atakującemu wykorzystanie dowiązań twardych do odczytu lub modyfikacji plików poza katalogiem wypakowania, takich jak .env, .git/config, .aws/credentials i ~/.ssh/config.
- CVE-2026-50151Wysokie
Podatność w bibliotece oras-go (Go) do zarządzania artefaktami OCI. Podczas przesyłania dużych obiektów blob, klient podąża za nagłówkiem Location kontrolowanym przez rejestr, ponownie używając nagłówka Authorization, co pozwala złośliwemu rejestrowi na przekierowanie i kradzież poświadczeń.
- CVE-2026-48978Niskie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, resolveWritePath() in content/file/file.go uses a lexical filepath.Rel check for workingDir and does not account for symlink traversal, so when AllowPathTraversalOnWrite=false an attacker-controlled blob title through ocispec.AnnotationTitle such as out/pwn.txt can follow a workingDir symlink out -> /some/outside/dir and cause pushFile() to create /some/outside/dir/pwn.txt outside workingDir. This issue is fixed in version 2.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS