CVE-2026-55588 in oras
الملخص
بحسب VulDB • 25/08/2026
يُعدّ ORAS (OCI Registry As Storage) أداة سطر أوامر ومكتبة لإدارة القطع في مستودعات OCI. في إصدارات CLI الخاصة بـORAS حتى الإصدار 1.3.2 وشاملاً له، لا تتتبع عملية اجتياز المراجع المتكررة الوصفيات التي تم زيارتها مسبقاً، مما يؤدي إلى حدوث تكرار غير محدود واستهلاك متزايد للذاكرة عند التعامل مع مستودع OCI خبيث يعيد رسم بياني دائري للمراجع (cyclic referrer graph). يؤثر هذا على أمر `oras discover`، حيث يكون الاجتياز المتكرر مفعّلاً افتراضياً لأن خيار `--depth` يملك قيمة افتراضية تساوي 0 (غير محدود)، وكذلك على عد المراجع المتكررة المستخدم في سير عملَي النسخ الاحتياطي (`oras backup`) والاستعادة (`oras restore`). يمكن أن يكون الرسم البياني الدائري بسيطاً جداً، مثل إشارة A إلى B وإشارة B مرة أخرى إلى A. يستطيع مستودع خبيث استخدام هذا التسبب في حدوث هجوم حجب للخدمة (DoS) على جانب العميل، مما يستنفد موارد المعالج والذاكرة ويعطل أتمتة خطوط أنابيب CI/CD التي تشغّل ORAS ضد بيانات تعريف المستودعات غير الموثوقة. لا يمتد نطاق الثغرة إلى تنفيذ الأكواد أو استبدال القطع أو تجاوز السلامة (integrity bypass). تم إصلاح هذه المشكلة في الإصدار 1.3.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.