CVE-2026-39396lowCWE-400CWE-674CWE-770

CVE-2026-39396: fallo de gravedad baja en openbao

OpenBao has Decompression Bomb via Unbounded Copy in OCI Plugin Extraction (DoS)

Publicada el

Seguir esta CVE+ Monitorear openbao+ Monitorear github.com/openbao/openbao

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 3.1epss 0.2%
En resumen

OpenBao no limita la cantidad de datos al descomprimir imágenes de plugins de contenedores, permitiendo que atacantes creen imágenes especialmente preparadas que se expanden a tamaños enormes y llenan el disco. La verificación de integridad ocurre demasiado tarde para evitar el daño.

Detalle técnico

CVE-2026-39396 es una vulnerabilidad de decompression bomb en la función ExtractPluginFromImage() de OpenBao, donde io.Copy carece de límites de bytes durante la descompresión de tar de imágenes OCI. Un atacante controlando el registro OCI puede servir una imagen preparada que se descomprime a tamaños arbitrarios, causando agotamiento de disco; la validación SHA256 ocurre post-escritura, viabilizando denegación de servicio. Requiere que la víctima extraiga de un registro comprometido o controlado por el atacante.

Resumen generado y traducido por IA a partir de la descripción oficial.
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.3, `ExtractPluginFromImage()` in OpenBao's OCI plugin downloader extracts a plugin binary from a container image by streaming decompressed tar data via `io.Copy` with no upper bound on the number of bytes written. An attacker who controls or compromises the OCI registry referenced in the victim's configuration can serve a crafted image containing a decompression bomb that decompresses to an arbitrarily large file. The SHA256 integrity check occurs after the full file is written to disk, meaning the hash mismatch is detected only after the damage (disk exhaustion) has already occurred. This allow the attacker to replace **legit plugin image** with no need to change its signature. Version 2.5.3 contains a patch.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L
Productos afectados
openbao · openbao
CVEs relacionadas — openbao

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-59043HIGHOpenBao vulnerable to denial of service via malicious JSON request processingEPSS 0.7%CVE-2026-63132CRITICALOpenBao's Recovery Mode Vulnerable To Token Leakage via Timing AttackEPSS 0.6%CVE-2026-46405MEDIUMOpenBao's Kerberos Auth Method Accumulates Unaccessible TokensEPSS 0.6%CVE-2026-55776MEDIUMOpenBao: Transit secrets engine crashes on key creation with `derived: true` for asymmetric key typesEPSS 0.6%CVE-2026-55774LOWOpenBao: Cross-namespace lease revocation/renewal via canonical sys/leases/{revoke,renew} — incomplete fix of CVE-2026-45808EPSS 0.6%CVE-2026-55770MEDIUMOpenBao: LDAPi ldaputil (wrong escape func)EPSS 0.5%