CVE-2026-33022
Təsvir
Tekton Pipelines layihəsi CI/CD tipli konveyerlərin təyin edilməsi üçün k8s üslublu resurslar təmin edir. Versiyalar 0.60.0-dan 1.0.0-dək, 1.1.0-dan 1.3.2-yə qədər, 1.4.0-dan 1.6.0-ya qədər, 1.7.0-dan 1.9.0-a qədər, 1.10.0 və 1.10.1 versiyalarında xidmətdən imtina (DoS) zəifliyi mövcuddur ki, bu da TaskRun və ya PipelineRun yarada bilən istənilən istifadəçiyə .spec.taskRef.resolver (və ya .spec.pipelineRef.resolver) parametrini 31 və daha çox simvoldan ibarət sətir olaraq təyin etməklə kontrolleri bütün klaster miqyasında çökdürməyə imkan verir. Çökmə ona görə baş verir ki, GenerateDeterministicNameFromSpec funksiyası DNS-1123 etiketinin 63 simvolluq limitini aşan ad istehsal edir və generatsiya edilmiş ad boşluqlar ehtiva etmədikdə, onun kəsim məntiqi [-1] dilim sərhədində panic xətası verir. Çökdükdən sonra kontroller yenidən başladıldıqda (problemli resursu təkrar uzlaşdırdığı üçün) CrashLoopBackOff vəziyyətinə düşür və resurs əllə silinənə qədər bütün CI/CD uzlaşdırma proseslərini bloklayır. Daxili resolver-lər (git, cluster, bundles, hub) qısa adlara malik olduqları üçün təsirlənmir, lakin hər hansı fərdi resolver adı bu xətanı tetikləyir. Düzəliş, determinizm və unikallığı qorumaq üçün həş süffiksini saxlayaraq, tam sətir əvəzinə resolver-ad prefiksini kəsir. Bu problem 1.0.1, 1.3.3, 1.6.1, 1.9.2 və 1.10.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- linuxfoundation tekton_pipelines1.0.1, 1.3.3, 1.6.1, 1.9.2, 1.10.2 və ya daha yeni versiya
- github.com/tektoncd/pipeline1.0.1, 1.3.3, 1.6.1, 1.9.2, 1.10.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation tekton_pipelines | 0.60.0 ≤ v < 1.0.1, 1.1.0 ≤ v < 1.3.3, 1.4.0 ≤ v < 1.6.1, 1.7.0 ≤ v < 1.9.2, 1.10.0 ≤ v < 1.10.2 | 1.0.1, 1.3.3, 1.6.1, 1.9.2, 1.10.2 |
| github.com/tektoncd/pipelineGo | 0.60.0 ≤ v < 1.0.1, 1.1.0 ≤ v < 1.3.3, 1.4.0 ≤ v < 1.6.1, 1.7.0 ≤ v < 1.9.2, 1.10.0 ≤ v < 1.10.2 | 1.0.1, 1.3.3, 1.6.1, 1.9.2, 1.10.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.