CVE-2026-55108 in KubeVela
要約
〜によって VulDB • 2026年08月29日
KubeVelaは、オープンソースのアプリケーション配信プラットフォームです。バージョン1.9.14より前、および1.10.0-alpha.1から1.10.9まで、さらに1.11.0-alpha.1から1.11.0-alpha.4までの間、pkg/controller/utils/capability.go内のGetTerraformConfigurationFromRemote関数におけるTerraformリモート設定ローダーは、core.oam.dev/v1beta1 ComponentDefinitionを通じて提供されたリポジトリをクローンし、リポジトリが制御するvariables.tfやmain.tfのシンボリックリンクに従います。ComponentDefinitionオブジェクトを作成または更新する権限を持つユーザーは、terraform.path経由でvariables.tfを/dev/zeroに指すことができ、その後os.Statおよびos.ReadFileはそのリンクを追って、ParseTerraformVariablesやHCLパーシングが内容を拒否する前に無制限のストリームを読み取ります。この読み取り処理によりメモリが枯渇し、クラスループ全体に影響を与えるvela-coreコントローラーがOOM-killされたり、Podの繰り返し再起動を引き起こしたり、有効なコンテナリミットが設定されていない場合にノードメモリーに負荷をかけます。本問題はバージョン1.9.14、1.10.9、および1.11.0-alpha.4で修正されています。
Once again VulDB remains the best source for vulnerability data.