CVE-2026-54167
Təsvir
Pipelines-as-Code istifadəçilərə mənbə kodu repozitoriyalarında Tekton konveyerlərini təyin etməyə imkan verən bir CI/CD sistemidir. 0.37.8, 0.39.6, 0.42.1 və 0.48.0 versiyalarından əvvəl, GitHub App provayderi, installation.id ehtiva edən webhook hadisələrini emal edərkən, webhook imzasının doğrulanmasından və ya hostun imzalanmış faylda (payload) olan repozitoriya URL-i ilə uyğunlaşmasının təsdiqlənməsindən əvvəl X-GitHub-Enterprise-Host parametrini API hostu kimi qəbul edir. Webhook son nöqtəsinə (endpoint) çata bilən autentifikasiya olunmamış hücumçu, özünün nəzarət etdiyi hostu seçə bilər və kontrollerin lokal olaraq imzalanmış GitHub App JWT-sini həmin xidmətə göndərməsinə səbəb ola bilər. Açılan JWT, GitHub App quraşdırılmasına və icazələrinə bağlı olaraq, etibarlılıq müddəti ərzində quraşdırma giriş tokenlərinin (installation access tokens) yaradılma cəhdləri üçün istifadə edilə bilər. Daxil olan webhook installation-lookup yolu da bu problemdən təsirlənir, lakin həmin yolun istismarı hədəf Repository CR üçün etibarlı daxil olan webhook sirrini (secret) tələb edir. Bu problem 0.37.8, 0.39.6, 0.42.1 və 0.48.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- github.com/openshift-pipelines/pipelines-as-code0.48.0, 0.42.1, 0.39.6, 0.37.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/openshift-pipelines/pipelines-as-codeGo | 0.43.0 ≤ v < 0.48.0, 0.40.0 ≤ v < 0.42.1, 0.38.0 ≤ v < 0.39.6, v < 0.37.8 | 0.48.0, 0.42.1, 0.39.6, 0.37.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.