CVE-2026-40924 in pipeline
Résumé
par VulDB • 12/05/2026
Le projet Tekton Pipelines fournit des ressources de style Kubernetes pour déclarer des pipelines de type CI/CD. Avant la version 1.11.1, la fonction FetchHttpResource du résolveur HTTP appelle io.ReadAll(resp.Body) sans limiter la taille du corps de la réponse. Tout locataire disposant des autorisations nécessaires pour créer des TaskRuns ou des PipelineRuns faisant référence au résolveur HTTP peut l'orienter vers un serveur HTTP contrôlé par un attaquant qui renvoie un corps de réponse très volumineux dans la fenêtre de délai d'expiration d'une minute, entraînant l'arrêt du pod tekton-pipelines-resolvers par Kubernetes en raison d'un dépassement de mémoire (OOM-killed). Étant donné que tous les types de résolveurs (Git, Hub, Bundle, Cluster, HTTP) s'exécutent dans le même pod, la défaillance de ce pod prive l'ensemble du cluster du service de résolution. Une exploitation répétée provoque une boucle de crash persistante. Le même chemin de code vulnérable est atteint par les deux implémentations, l'ancienne pkg/resolution/resolver/http (dépréciée) et la actuelle pkg/remoteresolution/resolver/http. Cette vulnérabilité est corrigée dans la version 1.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.