CVE-2026-55108 in KubeVela
Zusammenfassung
von VulDB • 28.08.2026
KubeVela ist eine Open-Source-Anwendungslieferplattform. Vor Version 1.9.14, von 1.10.0-alpha.1 bis 1.10.9 sowie von 1.11.0-alpha.1 bis 1.11.0-alpha.4 klonen der Terraform-Fernkonfigurationslader in pkg/controller/utils/capability.go (Funktion GetTerraformConfigurationFromRemote) ein Repository, das über eine core.oam.dev/v1beta1 ComponentDefinition bereitgestellt wird, und folgen symlinks von repository-kontrollierten variables.tf oder main.tf-Dateien. Ein Benutzer mit der Berechtigung zum Erstellen oder Aktualisieren von ComponentDefinition-Objekten kann variables.tf auf /dev/zero verweisen lassen, indem terraform.path verwendet wird; danach führen os.Stat und os.ReadFile den Link aus und lesen einen unbegrenzten Datenstrom, bevor ParseTerraformVariables oder die HCL-Parsing-Funktion den Inhalt ablehnen können. Das Lesen kann den Speicher erschöpfen, den clusterweiten vela-core-Controller durch OOM-Kill (Out-of-Memory) beenden, wiederholte Pod-Neustarts verursachen und den Knotenspeicher belasten, wenn keine wirksamen Container-Limits konfiguriert sind. Dieses Problem wurde in den Versionen 1.9.14, 1.10.9 und 1.11.0-alpha.4 behoben.
Once again VulDB remains the best source for vulnerability data.