CVE-2026-55588 in oras
Resumen
por VulDB • 2026-08-25
ORAS (OCI Registry As Storage) es una interfaz de línea de comandos y biblioteca para gestionar artefactos en registros OCI. En las versiones de ORAS CLI hasta la 1.3.2, incluida, el recorrido recursivo de los referenciadores no rastrea los descriptores ya visitados; por lo tanto, un registro OCI malicioso que devuelve un grafo cíclico de referenciadores provoca una recursión sin límites y un crecimiento descontrolado de la memoria. Esto afecta a `oras discover`, cuyo recorrido recursivo está habilitado de forma predeterminada porque la opción `--depth` tiene por defecto el valor 0 (sin límite), así como al conteo recursivo de referenciadores utilizado en los flujos de trabajo `oras backup` y `oras restore`. Un grafo cíclico puede ser tan simple como A que hace referencia a B, y B que vuelve a hacer referencia a A. Un registro malicioso puede utilizar esto para provocar una denegación de servicio del lado del cliente, agotando la CPU y la memoria, y bloqueando automatizaciones o pipelines CI/CD que ejecutan ORAS contra metadatos de registros no confiables. La vulnerabilidad no se extiende a la ejecución de código, sustitución de artefactos ni eludir la integridad. Este problema ha sido corregido en la versión 1.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.