CVE-2026-25542
Açıklama
Tekton Pipelines projesi, CI/CD tarzı boru hatlarını tanımlamak için k8s tarzı kaynaklar sağlar. Versiyon 0.43.0'dan başlayarak; 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 versiyonlarından önceki sürümlerde, güvenilir kaynak doğrulama politikaları bir kaynak kaynak dizesini (refSource.URI), regexp.MatchString kullanarak spec.resources[].pattern ile eşleştirir. Go dilinde regexp.MatchString, desen dizenin herhangi bir yerinde eşleşirse bunu bildirir; bu nedenle, yaygın çapa kullanılmamış desenler (tekton dokümantasyonundaki örnekler dahil), güvenilir deseni alt dize olarak içeren saldırgan kontrollü kaynak dizeleri tarafından atlatılabilir. Bu durum, istenmeyen bir politika eşleşmesine neden olabilir ve hangi doğrulama modunun/anahtarlarının uygulanacağını değiştirebilir. Versiyonlar 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 bu sorunu giderir.
Nasıl düzeltilir
- linuxfoundation tekton_pipelines1.11.0 ya da sonraki bir sürüm
- github.com/tektoncd/pipeline1.0.2, 1.3.4, 1.6.2, 1.9.3, 1.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation tekton_pipelines | 0.43.0 ≤ v < 1.11.0 | 1.11.0 |
| github.com/tektoncd/pipelineGo | 0.43.0 ≤ v < 1.0.2, 1.2.0 ≤ v < 1.3.4, 1.4.0 ≤ v < 1.6.2, 1.7.0 ≤ v < 1.9.3, 1.10.0 ≤ v < 1.11.1, 1.1.0 ≤ v < 1.3.4 | 1.0.2, 1.3.4, 1.6.2, 1.9.3, 1.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.