CVE-2026-40938
Açıklama
Tekton Pipelines projesi, CI/CD tarzı boru hatlarını tanımlamak için k8s tarzı kaynaklar sağlar. Versiyon 1.0.0 ile başlayıp 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 versiyonlarından önceki sürümlerde, git çözücüsünün revision parametresi, bir - karakteri ile başlamadığına dair herhangi bir doğrulama yapılmaksızın doğrudan konumsal bir argüman olarak git fetch komutuna aktarılmaktadır. git, karma konumsal argümanlardan bayrakları ayrıştırdığı için, bir saldırgan --upload-pack=<binary> gibi rastgele git fetch bayrakları enjekte edebilir. validateRepoURL fonksiyonunun / (yerel dosya sistemi yolları) ile başlayan URL'lere açıkça izin vermesiyle birleştiğinde, ResolutionRequest nesneleri gönderebilen bir kiracı, çözücü pod üzerinde rastgele bir ikili dosyayı çalıştırmak için bu iki davranışı zincirleyebilir. tekton-pipelines-resolvers ServiceAccount hesabı tüm Secret'lar üzerinde küme genelinde get/list/watch yetkilerine sahip olduğundan, çözücü pod üzerindeki kod çalıştırma işlemi, küme genelindeki tüm gizli bilgilerin sızdırılmasına olanak tanır. 1.0.2, 1.3.4, 1.6.2, 1.9.3 ve 1.11.1 versiyonları sorunu gidermektedir.
Nasıl düzeltilir
- linuxfoundation tekton_pipelines1.11.0 ya da sonraki bir sürüm
- github.com/tektoncd/pipeline1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation tekton_pipelines | 1.0.0 ≤ v < 1.11.0 | 1.11.0 |
| github.com/tektoncd/pipelineGo | 1.10.0 ≤ v < 1.11.1, 1.7.0 ≤ v < 1.9.3, 1.4.0 ≤ v < 1.6.2, 1.2.0 ≤ v < 1.3.4, 1.0.0 ≤ v < 1.0.2, 1.1.0 ≤ v < 1.3.4 | 1.11.1, 1.9.3, 1.6.2, 1.3.4, 1.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.