CVE-2026-55588 in oras
Tóm tắt
Bởi VulDB • 26/08/2026
ORAS (OCI Registry As Storage) là một CLI và thư viện để quản lý các artifacts trong các OCI registries. Trong ORAS CLI phiên bản từ trở về trước bao gồm cả 1.3.2, việc duyệt qua referrer đệ quy không theo dõi các descriptors đã được truy cập, do đó một malicious registry trả về đồ thị referrer vòng lặp (cyclic) sẽ gây ra đệ quy vô hạn và tăng trưởng bộ nhớ không kiểm soát. Điều này ảnh hưởng đến lệnh `oras discover`, vì quá trình duyệt đệ quy của nó được bật mặc định do tùy chọn `--depth` có giá trị mặc định là 0 (không giới hạn), cũng như việc đếm referrer đệ quy được sử dụng bởi các workflow `oras backup` và `oras restore`. Một đồ thị vòng lặp có thể đơn giản chỉ gồm A tham chiếu đến B và B quay lại tham chiếu về A. Một registry độc hại có thể lợi dụng điều này để gây ra tình trạng từ chối dịch vụ phía client (denial of service), làm cạn kiệt CPU và bộ nhớ, đồng thời khiến các pipeline tự động hóa hoặc CI/CD chạy ORAS trên metadata của registry không đáng tin bị treo đơ. Lỗ hổng này không mở rộng sang việc thực thi mã (code execution), thay thế artifact hay vượt qua kiểm tra tính toàn vẹn (integrity bypass). Vấn đề này đã được sửa trong phiên bản 1.3.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.