CVE-2026-39396

Name of the Vulnerable Software and Affected Versions OpenBao versões anteriores a 2.5.3

Description O baixador de plugins OCI contém um problema na função ExtractPluginFromImage() onde binários de plugins são extraídos de imagens de contêiner através do streaming de dados tar descompactados via io.Copy sem um limite no número de bytes gravados. Um invasor que controle ou comprometa o registro OCI pode fornecer uma imagem manipulada contendo uma bomba de descompressão—um arquivo que se expande para um tamanho arbitrariamente grande ao ser descompactado—levando à exaustão do disco. Como a verificação de integridade SHA256 é realizada apenas após o arquivo ser totalmente gravado no disco, a incompatibilidade do hash é detectada tarde demais para evitar o impacto. Isso permite que um invasor substitua uma imagem de plugin legítima sem a necessidade de alterar sua assinatura.

Recommendations Atualizar para a versão 2.5.3.