CVE-2021-21272

ORAS, OCI Artefaktlarının OCI standartlarına uyğun reyestrə yüklənməsini təmin edən açıq mənbəli proqram təminatıdır. ORAS həm ilkin sınaqlar üçün CLI, həm də Go Moduludur. ORAS-ın 0.4.0 versiyasından başlayaraq 0.9.0 versiyasına qədər olan hissəsində "zip-slip" zəifliyi mövcuddur. Kataloq dəstəyi funksiyası yüklənmiş gzipped tarball-ların istifadəçi tərəfindən müəyyən edilmiş kataloğa avtomatik çıxarılmasına imkan verir və bu zaman tarball simvolik linklər və sərt linklər ehtiva edə bilər. Xüsusi hazırlanmış bir və ya bir neçə tarball bədniyyətli artefakt provayderlərinə, `oras pull` əmrini işə salan istifadəçinin icazələri ilə, istifadəçi tərəfindən müəyyən edilmiş kataloqun xaricindəki host fayl sistemində konkret faylları gözlənilməz şəkildə əlaqələndirməyə, yazmağa və ya üzərinə yazmağa imkan verir. Təsirə məruz qalan versiyalardan istifadə edən şəxslərdən `oras pull` əmrini işə salan `oras` CLI istifadəçiləri və ya `github.com/deislabs/oras/pkg/content.FileStore` modulunu çağıran Go proqramları risk altındadır. Problem 0.9.0 versiyasında aradan qaldırılmışdır. `oras` CLI istifadəçiləri üçün etibarlı artefakt provayderindən yükləməkdən başqa heç bir alternativ həll yolu yoxdur. `oras` paket istifadəçiləri üçün alternativ həll yolu `github.com/deislabs/oras/pkg/content.FileStore`-dan istifadə etməmək və bunun əvəzinə digər kontent anbarlarından istifadə etmək və ya etibarlı artefakt provayderindən yükləməkdir.