CVE-2026-50163
Təsvir
oras-go OCI artefaktlarının idarə edilməsi üçün Go kitabxanasıdır. 2.6.2 versiyasından əvvəl content/file/utils.go:262-275 daxilindəki ensureLinkPath çıxarılma bazasına nisbətən hardlink hədəfini yoxlayır, lakin həll edilməmiş hədəfi qaytarır və nəticədə os.Link("victim.secret", "<extract_base>/payload.tar.gz/evil_cwd_link") çağırışı Name=payload.tar.gz/evil_cwd_link və Linkname="victim.secret" olan, io.deis.oras.content.unpack: "true" ilə Typeflag=TypeLink qeydi üçün header.Linkname-i prosesin cari iş qovluğuna nisbətən həll edir ki, bu da .env, .git/config, .aws/credentials və ~/.ssh/config kimi faylların ifşa olunmasına və ya dəyişdirilməsinə səbəb ola bilər. Bu problem 2.6.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- oras.land/oras-go/v22.6.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| oras.land/oras-go/v2Go | v < 2.6.2 | 2.6.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.