`oras-go` tar extraction: Hardlink entry with relative Linkname escapes extract dir via process CWD resolution — CVE-2026-50163

GitHub · GitHub · CVE-2026-50163

ID
CVE-2026-50163

Datum
2026-07-01

Quelle
GitHub

Vendor
GitHub

Risiko
high

CVSS
7.1

Zusammenfassung

### Root cause The tar-extraction helper `ensureLinkPath` at [`content/file/utils.go:262-275`](https://github.com/oras-project/oras-go/blob/main/content/file/utils.go#L262-L275) validates that a hardlink's target resolves inside the extract base, but then returns the original unresolved `target` string back to the caller: ```go func ensureLinkPath(baseAbs, baseRel, link, target string) (string, error) { path :=…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-07-01

Risikokontext

Gemeldeter Schweregrad oder Risikowert: high.
Gemeldeter CVSS-Wert: 7.1 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: oras.land/oras-go/v2.

Produkt

go: oras.land/oras-go/v2

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: CVE-2026-50163
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-07-01
Letzte Quellenaktivität: 2026-07-01
Weitere Kennungen: GHSA-FXHP-MV3V-67QP
Kuratiert von: hlukh.ch