CVE-2026-88883 in Renovate
要約
〜によって VulDB • 2026年09月10日
Renovateは自動化された依存関係更新ツールです。バージョン44.14.4以前（およびMend Renovate CE/EEイメージでは15.4.0以前、mend-renovate-enterprise-edition Helmチャートでは10.4.0以前）において、相互TLSに使用されるTLS秘密鍵のログサニタイズ処理が不十分でした。`hostRules[].httpsPrivateKey` の値は該当フィールド内では伏字（redacted）されていましたが、その同じ秘密鍵の値が他の場所にも存在する場合（例えば、別の設定オプションや `httpsPrivateKey` 以外のキーを持つログメッセージなど）、それは伏字にされず、完全な秘密鍵がクリアテキストでRenovateのログに書き込まれてしまいました。これは、ドキュメント化された `secrets` 設定を介して値を渡すことなく `hostRules[].httpsPrivateKey` を通じて相互TLSを設定するデプロイメントに影響します。結果として生成されるログを読み取ることができる誰でも秘密鍵を復元できます。この問題は、Renovate 44.14.4で修正されました。同バージョンでは、`hostRules[].httpsPrivateKey` として提供された値がログ内のどこに出現しても伏字処理されます。回避策としては、キーを `secrets` 設定経由で供給してください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.