CVE-2026-55588

ORAS (OCI Registry As Storage), OCI kayıt defterlerindeki artefaktları yönetmek için kullanılan bir CLI ve kütüphanedir. 1.3.2 sürümü dahil olmak üzere önceki ORAS CLI sürümlerinde, özyinelemeli referans gezintisi ziyaret edilen tanımlayıcıları takip etmemektedir; bu nedenle döngüsel bir referans grafiği döndüren kötü niyetli bir OCI kayıt defteri, sınırsız özyinelemeye ve bellek artışına neden olur. Bu durum, --depth seçeneğinin varsayılan olarak 0 (sınırsız) olması nedeniyle özyinelemeli gezintinin varsayılan olarak etkin olduğu oras discover komutunun yanı sıra oras backup ve oras restore iş akışları tarafından kullanılan özyinelemeli referans sayımını etkiler. Döngüsel bir grafik, A'nın B'ye ve B'nin tekrar A'ya referans vermesi kadar basit olabilir. Kötü niyetli bir kayıt defteri bunu, güvenilmeyen kayıt defteri meta verilerine karşı ORAS çalıştıran otomasyon veya CI/CD hatlarını askıya alarak, CPU ve belleği tüketip istemci tarafında hizmet reddine (DoS) yol açmak için kullanabilir. Zafiyet; kod çalıştırma, artefakt değiştirme veya bütünlük atlatma özelliklerini kapsamaz. Bu sorun 1.3.3 sürümünde düzeltilmiştir.