CVE-2026-55108

KubeVela açık kaynaklı bir uygulama teslimat platformudur. 1.9.14 sürümünden önce, 1.10.0-alpha.1 ile 1.10.9 arasında ve 1.11.0-alpha.1 ile 1.11.0-alpha.4 arasında, pkg/controller/utils/capability.go dosyasındaki GetTerraformConfigurationFromRemote fonksiyonunda yer alan Terraform uzak yapılandırma yükleyicisi, core.oam.dev/v1beta1 ComponentDefinition aracılığıyla sağlanan bir depoyu klonlar ve depo tarafından kontrol edilen variables.tf veya main.tf sembolik bağlantılarını takip eder. ComponentDefinition nesnelerini oluşturma veya güncelleme yetkisine sahip bir kullanıcı, terraform.path üzerinden variables.tf dosyasını /dev/zero'ya yönlendirebilir; ardından os.Stat ve os.ReadFile bu bağlantıyı takip ederek ParseTerraformVariables veya HCL ayrıştırması içeriği reddetmeden önce sınırsız bir akışı okur. Bu okuma işlemi belleği tüketebilir, küme genelindeki vela-core denetleyicisini OOM-kill ile sonlandırabilir, tekrarlanan Pod yeniden başlatmalarına neden olabilir ve etkili bir konteyner sınırı yapılandırılmadığında düğüm belleğine baskı yapabilir. Bu sorun 1.9.14, 1.10.9 ve 1.11.0-alpha.4 sürümlerinde düzeltilmiştir.