CVE-2026-40923
Açıklama
Tekton Pipelines projesi, CI/CD tarzı boru hatlarını tanımlamak için k8s tarzı kaynaklar sağlar. Versiyon 1.0.0'dan başlayarak; 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 versiyonlarından önceki sürümlerde, VolumeMount yol kısıtlamasındaki bir doğrulama atlatma açığı, .. yol geçişi (path traversal) bileşenleri kullanılarak kısıtlanmış /tekton/ dahili yolları altına bölümlerin bağlanmasına izin verir. Kısıtlama kontrolü, filepath.Clean olmadan strings.HasPrefix kullandığından, /tekton/home/../results gibi bir yol doğrulamadan geçer ancak çalışma zamanında /tekton/results olarak çözümlenir. 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 versiyonları bu sorunu giderir.
Nasıl düzeltilir
- linuxfoundation tekton_pipelines1.11.1 ya da sonraki bir sürüm
- github.com/tektoncd/pipeline1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation tekton_pipelines | v < 1.11.1 | 1.11.1 |
| github.com/tektoncd/pipelineGo | 1.10.0 ≤ v < 1.11.1, 1.7.0 ≤ v < 1.9.3, 1.4.0 ≤ v < 1.6.2, 1.2.0 ≤ v < 1.3.4, 1.0.0 ≤ v < 1.0.2, 1.1.0 ≤ v < 1.3.4 | 1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.