CVE-2026-39396lowCWE-400CWE-674CWE-770

CVE-2026-39396: falha de baixa gravidade em openbao

OpenBao has Decompression Bomb via Unbounded Copy in OCI Plugin Extraction (DoS)

Publicada em

Seguir esta CVE+ Monitorar openbao+ Monitorar github.com/openbao/openbao

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 3.1epss 0.2%
Em resumo

O OpenBao não limita a quantidade de dados ao descompactar imagens de plugins de contêineres, permitindo que atacantes criem imagens especialmente preparadas que se expandem para tamanhos enormes e preenchem o disco. A verificação de integridade acontece tarde demais para evitar o dano.

Detalhe técnico

CVE-2026-39396 é uma vulnerabilidade de decompression bomb na função ExtractPluginFromImage() do OpenBao, onde io.Copy não tem limites de bytes durante descompactação de tar de imagens OCI. Um atacante controlando o registro OCI pode servir uma imagem preparada que descompacta para tamanhos arbitrários, causando esgotamento de disco; validação SHA256 ocorre após escrita, viabilizando negação de serviço. Requer que a vítima faça pull de registro comprometido ou controlado pelo atacante.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.3, `ExtractPluginFromImage()` in OpenBao's OCI plugin downloader extracts a plugin binary from a container image by streaming decompressed tar data via `io.Copy` with no upper bound on the number of bytes written. An attacker who controls or compromises the OCI registry referenced in the victim's configuration can serve a crafted image containing a decompression bomb that decompresses to an arbitrarily large file. The SHA256 integrity check occurs after the full file is written to disk, meaning the hash mismatch is detected only after the damage (disk exhaustion) has already occurred. This allow the attacker to replace **legit plugin image** with no need to change its signature. Version 2.5.3 contains a patch.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L
Produtos afetados
openbao · openbao
CVEs relacionadas — openbao

No mesmo produto, das mais perigosas para as menos.

CVE-2025-59043HIGHOpenBao vulnerable to denial of service via malicious JSON request processingEPSS 0.7%CVE-2026-63132CRITICALOpenBao's Recovery Mode Vulnerable To Token Leakage via Timing AttackEPSS 0.6%CVE-2026-46405MEDIUMOpenBao's Kerberos Auth Method Accumulates Unaccessible TokensEPSS 0.6%CVE-2026-55776MEDIUMOpenBao: Transit secrets engine crashes on key creation with `derived: true` for asymmetric key typesEPSS 0.6%CVE-2026-55774LOWOpenBao: Cross-namespace lease revocation/renewal via canonical sys/leases/{revoke,renew} — incomplete fix of CVE-2026-45808EPSS 0.6%CVE-2026-55770MEDIUMOpenBao: LDAPi ldaputil (wrong escape func)EPSS 0.5%