CVE-2026-55588 in oras
Sumário
de VulDB • 25/08/2026
O ORAS (OCI Registry As Storage) é uma CLI e biblioteca para gerenciar artefatos em registos OCI. Nas versões do ORAS CLI até à versão 1.3.2, a travessia recursiva de referenciadores não rastreia os descritores visitados; portanto, um registo OCI malicioso que retorna um grafo cíclico de referenciadores causa uma recursão sem limites e crescimento descontrolado da memória. Isto afeta o comando `oras discover`, cuja travessia recursiva está ativada por padrão porque a opção `--depth` tem como valor predefinido 0 (ilimitado), bem como a contagem recursiva de referenciadores utilizada pelos fluxos de trabalho `oras backup` e `oras restore`. Um grafo cíclico pode ser tão simples quanto A referir-se a B e B voltar a referir-se a A. Um registo malicioso pode utilizar isto para causar uma negação de serviço no lado do cliente, esgotando a CPU e a memória e bloqueando pipelines de automação ou CI/CD que executam o ORAS contra metadados de registos não confiáveis. A vulnerabilidade não se estende à execução de código, substituição de artefatos ou contornagem da integridade. Este problema foi corrigido na versão 1.3.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.