CVE-2023-37264

Tekton Pipelines layihəsi CI/CD tipli konveyerlərin təyin edilməsi üçün k8s üslublu resurslar təmin edir. Versiya 0.35.0-dan başlayaraq, konveyerlər alt UID-ləri yoxlamır, bu isə o deməkdir ki, TaskRun yaratmaq imkanı olan istifadəçi, Pipelines kontrollerinin alt Task kimi qəbul edəcəyi öz Task-larını yarada bilər. Proqram təminatı PipelineRun-ın (api version, kind, name, uid) məlumatlarını alt Run-ın OwnerReference hissəsində saxlayıb yoxlasa da, ChildStatusReference hissəsində yalnız (api version, kind, name) məlumatlarını saxlayır. Bu o deməkdir ki, əgər bir klient klasterdə TaskRun yaratmaq imkanına malikdirsə, eyni ada və sahib istinadına (owner reference) malik konveyer üçün alt TaskRun yarada bilər və Pipeline kontrolleri onu orijinal TaskRun kimi qəbul edər. Bu problemlidir, çünki istifadəçilərə konveyerlərin konfiqurasiyasını iş vaxtında (runtime) dəyişdirməyə imkan verir ki, bu da SLSA L2 Service Generated / Non-falsifiable tələblərini pozur. Bu boşluqdan Pipeline kontrollerini aldatmaqla, əlaqəsiz Run-ları konveyerlə əlaqələndirmək və onların məlumatlarını konveyerin qalan hissələrinə ötürmək üçün istifadə etmək olar. Bu, TaskRun yaratmaq imkanını tələb edir, buna görə də təsir Tekton quruluşundan asılı olaraq dəyişə bilər. Əgər istifadəçilərin artıq hər hansı Task/PipelineRun yaratmaq üçün məhdudiyyətsiz girişi varsa, bu onlara əlavə imkanlar vermir. Nəşr edildiyi tarixə etibarən, bu problem üçün heç bir məlum yamama (patch) mövcud deyil.