CVE-2026-54167
Açıklama
Pipelines-as-Code, kullanıcıların Tekton pipeline'larını kaynak kodu depolarında tanımlamalarına olanak tanıyan bir CI/CD sistemidir. 0.37.8, 0.39.6, 0.42.1 ve 0.48.0 sürümlerinden önce, GitHub App sağlayıcısı; installation.id içeren webhook olaylarını işlerken, webhook imza doğrulaması veya ana bilgisayarın imzalı yükteki depo URL'si ile eşleştiğinin onaylanmasından önce X-GitHub-Enterprise-Host değerini API ana bilgisayarı olarak kabul etmektedir. Webhook uç noktasına erişebilen kimliği doğrulanmamış bir saldırgan, saldırgan tarafından kontrol edilen bir ana bilgisayar seçebilir ve denetleyicinin yerel olarak imzalanmış bir GitHub App JWT'sini bu servise göndermesine neden olabilir. Açığa çıkan JWT, GitHub App kurulumuna ve izinlerine bağlı olarak, geçerlilik süresi boyunca kurulum erişim jetonları üretmek için kullanılabilir. Gelen webhook installation-lookup yolu da etkilenmektedir ancak bu yolun istismar edilmesi, hedef Repository CR için geçerli gelen webhook gizli anahtarını gerektirir. Bu sorun 0.37.8, 0.39.6, 0.42.1 ve 0.48.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- github.com/openshift-pipelines/pipelines-as-code0.48.0, 0.42.1, 0.39.6, 0.37.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/openshift-pipelines/pipelines-as-codeGo | 0.43.0 ≤ v < 0.48.0, 0.40.0 ≤ v < 0.42.1, 0.38.0 ≤ v < 0.39.6, v < 0.37.8 | 0.48.0, 0.42.1, 0.39.6, 0.37.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.