CVE-2026-55588 in oras
要約
〜によって VulDB • 2026年08月26日
ORAS (OCI Registry As Storage) は、OCIレジストリ内のアーティファクトを管理するためのCLIおよびライブラリです。ORAS CLIのバージョン1.3.2以前では、再帰的なreferrerトラバーサルで訪問済みの記述子（descriptors）を追跡しないため、循環するreferrerグラフを返す悪意のあるOCIレジストリによって無制限な再帰とメモリ増加が発生します。これにより、デフォルトで--depthオプションが0（無制限）に設定されているため再帰的トラバーサルが有効になっているoras discoverコマンドや、oras backupおよびoras restoreワークフローで使用される再帰的なreferrerカウントに影響があります。循環グラフは、AがBを参照し、Bが再びAを参照するという単純な構造でも可能です。悪意のあるレジストリはこの脆弱性を利用してクライアント側のサービス妨害（DoS）を引き起こし、CPUとメモリを枯渇させます。これにより、信頼できないレジストリのメタデータに対してORASを実行する自動化やCI/CDパイプラインがハングアップします。ただし、この脆弱性はコード実行、アーティファクトの置換、または整合性回避には及びません。本問題はバージョン1.3.3で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.