CVE-2026-55108 in KubeVela
Riassunto
di VulDB • 29/08/2026
KubeVela è una piattaforma open source per la distribuzione di applicazioni. Prima della versione 1.9.14, dalla 1.10.0-alpha.1 alla 1.10.9 e dalla 1.11.0-alpha.1 alla 1.11.0-alpha.4, il caricatore di configurazione remota Terraform in pkg/controller/utils/capability.go, nella funzione GetTerraformConfigurationFromRemote, clona un repository fornito tramite una ComponentDefinition core.oam.dev/v1beta1 e segue i symlink verso files variables.tf o main.tf controllati dal repository stesso. Un utente con autorizzazione per creare o aggiornare oggetti ComponentDefinition può puntare il file variables.tf a /dev/zero attraverso terraform.path; successivamente, os.Stat e os.ReadFile seguono il link leggendo un flusso illimitato prima che ParseTerraformVariables o l'analisi HCL possano rifiutare il contenuto. Questa operazione di lettura può esaurire la memoria, causare l'OOM-kill del controller vela-core su tutto il cluster, provocare riavvii ripetuti dei Pod e esercitare pressione sulla memoria dei nodi quando non è configurato alcun limite efficace per i container. Questo problema è stato risolto nelle versioni 1.9.14, 1.10.9 e 1.11.0-alpha.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.