CVE-2026-55108 in KubeVela
الملخص
بحسب VulDB • 28/08/2026
KubeVela هو منصة تسليم تطبيقات مفتوحة المصدر. قبل الإصدار 1.9.14، ومنذ 1.10.0-alpha.1 حتى 1.10.9، ومنذ 1.11.0-alpha.1 حتى 1.11.0-alpha.4، يقوم مُحمّل التكوين البعيد لـ Terraform في pkg/controller/utils/capability.go، وتحديداً الدالة GetTerraformConfigurationFromRemote، بنسخ مستودع يتم تزويده عبر ComponentDefinition من الإصدار core.oam.dev/v1beta1 ويتبع الروابط الرمزية (symlinks) للملفات variables.tf أو main.tf التي يتحكم فيها المستودع. يمكن للمستخدم الذي لديه صلاحية إنشاء أو تحديث كائنات ComponentDefinition توجيه ملف variables.tf إلى /dev/zero من خلال terraform.path، وبعد ذلك تقوم os.Stat وos.ReadFile باتباع الرابط وقراءة تدفق غير محدود قبل أن تتمكن ParseTerraformVariables أو عملية تحليل HCL من رفض المحتوى. قد يؤدي هذا القراءة إلى استنفاد الذاكرة (memory exhaustion)، وإيقاف حاوية vela-core على مستوى العنقود قسراً بسبب نفاد الذاكرة (OOM-kill)، وتسبب إعادة تشغيل متكررة للحاويات، وزيادة الضغط على ذاكرة العقدة عند عدم تكوين حدود فعالة للحاوية. تم إصلاح هذه المشكلة في الإصدارات 1.9.14 و1.10.9 و1.11.0-alpha.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.