CVE-2026-55108

KubeVela açıq mənbəli tətbiq çatdırılma platformasıdır. 1.9.14 versiyasından əvvəl, 1.10.0-alpha.1-dən 1.10.9-a qədər və 1.11.0-alpha.1-dən 1.11.0-alpha.4-ə qədər olan versiyalarda, pkg/controller/utils/capability.go faylındakı GetTerraformConfigurationFromRemote funksiyasında yerləşən Terraform uzaq konfiqurasiya yükləyicisi, core.oam.dev/v1beta1 ComponentDefinition vasitəsilə təmin edilən repozitoriyanı klonlayır və repozitoriya tərəfindən idarə olunan variables.tf və ya main.tf simvolik keçidlərini (symlink) izləyir. ComponentDefinition obyektlərini yaratmaq və ya yeniləmək icazəsi olan istifadəçi, terraform.path vasitəsilə variables.tf faylını /dev/zero ünvanına yönləndirə bilər; bundan sonra os.Stat və os.ReadFile funksiyaları bu keçidi izləyir və ParseTerraformVariables və ya HCL analiz etməsi məzmunu rədd etməzdən əvvəl limitsiz axını oxuyur. Bu oxuma prosesi yaddaşı tükəndirə, klaster miqyaslı vela-core kontrollerinin OOM-kill ilə dayandırılmasına səbəb ola, Pod-ların təkrarən restart olunmasına yol aça və effektiv konteyner limiti konfiqurasiya edilmədikdə düyün (node) yaddaşına yük sala bilər. Bu problem 1.9.14, 1.10.9 və 1.11.0-alpha.4 versiyalarında düzəldilmişdir.