CVE-2026-85732
ŚrednieCVSS 4.7Streszczenie
Biblioteka oras-go przed wersją 2.6.2 nie waliduje schematu, hosta ani portu adresu URL pochodzącego z nagłówka Link kontrolowanego przez rejestr. Podczas operacji paginacji (Tags, Referrers, Repositories) wykonywane jest żądanie GET do adresu wybranego przez atakującego, co umożliwia ślepą podatność SSRF przeciwko usługom wewnętrznym.
Ocena ryzyka
Atakujący może sondować usługi wewnętrzne w sieci ofiary oraz potencjalnie ujawnić poświadczenia, jeśli magazyn poświadczeń zawiera wpis dla docelowego hosta. Wymaga to jednak, aby ofiara wykonała operację paginacji wobec złośliwego rejestru.
Rekomendacja
Zaktualizuj bibliotekę oras-go do wersji 2.6.2 lub nowszej, która zawiera poprawkę tego problemu (skonsolidowaną w GHSA-3hr5-mjrr-hfjh).
Inne podatności w oras-go
Zobacz wszystkie- CVE-2026-85731Wysokie
oras-go przed wersją 2.6.2 pozwala na zapis poza katalogiem roboczym podczas ekstrakcji warstw OCI oznaczonych io.deis.oras.content.unpack=true. Złośliwe archiwum może utworzyć łańcuch dowiązań symbolicznych prowadzący do dowolnej ścieżki i nadpisać pliki, nawet gdy AllowPathTraversalOnWrite jest wyłączone.
- GHSA-vh4v-2xq2-g5cgŚrednie
Podatność w bibliotece ORAS Go umożliwia przekazywanie poświadczeń rejestru skonfigurowanych dla jednego źródła do innego źródła HTTP podczas przekierowań rejestru. Problem występuje podczas pobierania manifestów lub metadanych.
- CVE-2026-50163Wysokie
Podatność w bibliotece oras-go (wersje przed 2.6.2) umożliwia atakującemu wykorzystanie dowiązań twardych do odczytu lub modyfikacji plików poza katalogiem wypakowania, takich jak .env, .git/config, .aws/credentials i ~/.ssh/config.
- CVE-2026-50162Średnie
oras-go w wersjach przed 2.6.1 zawiera lukę w funkcji resolveWritePath(), która nie uwzględnia dowiązań symbolicznych. Pozwala to atakującemu na ominięcie zabezpieczenia AllowPathTraversalOnWrite=false i zapis pliku poza katalogiem roboczym poprzez kontrolowany tytuł blobu.
- CVE-2026-50151Wysokie
Podatność w bibliotece oras-go (Go) do zarządzania artefaktami OCI. Podczas przesyłania dużych obiektów blob, klient podąża za nagłówkiem Location kontrolowanym przez rejestr, ponownie używając nagłówka Authorization, co pozwala złośliwemu rejestrowi na przekierowanie i kradzież poświadczeń.
- CVE-2026-48978Niskie
Podatność w bibliotece oras-go przed wersją 2.6.1. Klient uwierzytelniania podąża za adresem URL realm z rejestru bez walidacji, co umożliwia atak SSRF na wewnętrzne sieci, np. http://169.254.169.254/.
Oryginalny opis (angielski, źródło NVD)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, the parseLink function in registry/remote/utils.go accepts an absolute URL from a registry-controlled Link response header without validating its scheme, host, or port. Tags, Referrers, and Repositories pagination operations then issue a GET request to the attacker-selected URL from the victim's network, allowing blind server-side request forgery against internal services. The response body is not returned to the attacker, but timing and error differences can reveal service reachability, and credentials may be attached when the credential store has an entry for the target host. Exploitation requires a victim to perform a pagination-based listing operation against a malicious registry. The maintainer identifies this report as a duplicate of GHSA-3hr5-mjrr-hfjh and states that remediation is consolidated in that earlier advisory. The consolidated issue is fixed in version 2.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS