CVE-2023-37264

Tekton Pipelines projesi, CI/CD tarzı boru hatlarını tanımlamak için k8s tarzı kaynaklar sağlar. Versiyon 0.35.0'dan itibaren, boru hatları alt UID'leri doğrulamamaktadır; bu durum, TaskRun oluşturma yetkisine sahip bir kullanıcının, Pipelines denetleyicisinin alt Görev olarak kabul edeceği kendi Görevlerini oluşturabileceği anlamına gelir. Yazılım, PipelineRun'ın (api version, kind, name, uid) bilgilerini alt Çalıştırmanın OwnerReference kısmında saklayıp doğrulasa da, ChildStatusReference kısmında yalnızca (api version, kind, name) bilgilerini saklamaktadır. Bu durum, bir istemcinin kümede TaskRun oluşturma yetkisi varsa, aynı isim ve sahip referansına sahip bir boru hattı için alt bir TaskRun oluşturabileceği ve Pipeline denetleyicisinin bunu orijinal TaskRun gibi algılayacağı anlamına gelir. Bu durum, kullanıcıların boru hatlarının yapılandırmasını çalışma zamanında değiştirmesine izin verebildiği için sorunludur ve SLSA L2 Hizmet Tarafından Oluşturulan / Yanıltılamaz gereksinimlerini ihlal eder. Bu sorun, Pipeline denetleyicisini alakasız Çalıştırmaları Boru Hattı ile ilişkilendirmeye ikna etmek ve verilerini Boru Hattının geri kalanına aktarmak için kullanılabilir. Bu işlem TaskRun oluşturma yetkisi gerektirdiğinden, etki her bir Tekton kurulumuna göre değişiklik gösterebilir. Kullanıcıların halihazırda herhangi bir Task/PipelineRun oluşturmak için kısıtlanmamış erişimi varsa, bu durum ek bir yetenek sağlamaz. Yayınlandığı tarih itibarıyla, bu sorun için bilinen bir yama bulunmamaktadır.