CVE-2026-55108 in KubeVela
요약
\~에 의해 VulDB • 2026. 08. 29.
KubeVela는 오픈 소스 애플리케이션 배포 플랫폼입니다. 버전 1.9.14 이전, 그리고 1.10.0-alpha.1부터 1.10.9까지, 그리고 1.11.0-alpha.1부터 1.11.0-alpha.4 사이의 버전에서 pkg/controller/utils/capability.go의 GetTerraformConfigurationFromRemote 함수에 있는 Terraform 원격 구성 로더는 core.oam.dev/v1beta1 ComponentDefinition을 통해 제공된 저장소를 복제하고, 저장소 제어 하에 있는 variables.tf 또는 main.tf 심볼릭 링크를 따릅니다. ComponentDefinition 객체를 생성하거나 업데이트할 수 있는 권한을 가진 사용자는 terraform.path를 통해 variables.tf를 /dev/zero로 가리킬 수 있으며, 이후 os.Stat 및 os.ReadFile가 해당 링크를 따라 제한 없는 스트림을 읽기 시작합니다. ParseTerraformVariables 또는 HCL 파싱이 내용을 거부하기 전에 이미 많은 데이터가 읽히게 됩니다. 이로 인해 메모리가 고갈되어 클러스터 전체의 vela-core 컨트롤러가 OOM-kill될 수 있으며, 반복적인 Pod 재시작과 효과적인 컨테이너 제한이 구성된 경우 노드 메모리에 부하를 초래할 수 있습니다. 이 문제는 버전 1.9.14, 1.10.9 및 1.11.0-alpha.4에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.