CVE-2026-48702

Nome do Software Vulnerável e Versões Afetadas hauler versões anteriores a 2.0.1-1.1

Descrição A função Package.Unmarshal() em pkg/types/alpine/apk.go descompacta membros gzip de assinatura e controle de um arquivo APK em buffers de memória sem limitar o tamanho total descompactado. Isso permite que uma bomba de descompactação—um arquivo compactado pequeno que se expande para um tamanho massivo—consuma memória heap ilimitada, resultando em um erro fatal de falta de memória (out-of-memory) do runtime Go ou um OOM-kill do sistema operacional. Este problema é acessível através dos endpoints não autenticados 'POST /api/v1/log/entries' e 'POST /api/v1/log/entries/retrieve', que acionam a descompactação ilimitada por meio das funções V001Entry.Canonicalize() e fetchExternalEntities().

Recomendações Atualize para a versão 2.0.1-1.1.