CVE-2021-21272

ORAS, OCI Artifact'larının OCI uyumlu kayıt defterlerine itilmesini sağlayan açık kaynaklı bir yazılımdır. ORAS hem ilk testler için bir CLI hem de bir Go Modülüdür. ORAS'ın 0.4.0 versiyonundan itibaren ve 0.9.0 versiyonundan önceki sürümlerinde bir "zip-slip" zafiyeti bulunmaktadır. Dizin desteği özelliği, indirilen gzipped tarball dosyalarının kullanıcı tarafından belirtilen dizine otomatik olarak çıkarılmasına izin verir; burada tarball sembolik bağlantılar ve sert bağlantılar içerebilir. İyi yapılandırılmış bir veya birden fazla tarball, kötü niyetli artifact sağlayıcılarının, `oras pull` komutunu çalıştıran kullanıcının izinleriyle, kullanıcı tarafından belirtilen dizinin dışındaki ana bilgisayar dosya sistemindeki belirli dosyaları beklenmedik şekilde bağlamasına, yazmasına veya üzerine yazmasına olanak tanır. Etkilenen versiyonları kullananlar, eğer `oras pull` işlemini gerçekleştiren `oras` CLI kullanıcılarıysa veya `github.com/deislabs/oras/pkg/content.FileStore` bileşenini çağıran Go programlarıysa etkilenirler. Sorun 0.9.0 versiyonunda düzeltilmiştir. `oras` CLI kullanıcıları için güvenilir bir artifact sağlayıcısından çekim yapmak dışında bir geçici çözüm yoktur. `oras` paket kullanıcıları için geçici çözüm, `github.com/deislabs/oras/pkg/content.FileStore` yerine diğer içerik depolarını kullanmak veya güvenilir bir artifact sağlayıcısından çekim yapmaktır.