Projekt Tekton Pipelines udostępnia zasoby w stylu k8s do deklarowania pipelinów CI/CD. W wersjach od 0.43.0 do 1.11.0, polityka weryfikacji zaufanych zasobów porównuje łańcuch źródła zasobu (refSource.URI) względem spec.resources[].pattern przy użyciu regexp.MatchString. W Go funkcja regexp.MatchString zgłasza dopasowanie, jeśli wzorzec pasuje gdziekolwiek w łańcuchu, dlatego typowe nieokotwiczone wzorce (również przykłady z dokumentacji Tekton) można obejść, używając kontrolowanych przez atakującego łańcuchów źródła zawierających zaufany wzorzec jako podłańcuch. Może to spowodować niezamierzone dopasowanie polityki i zmianę aktywnych trybów weryfikacji/kluczy.
▸ Pokaż oryginał (EN)
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. From 0.43.0 to 1.11.0, trusted resources verification policies match a resource source string (refSource.URI) against spec.resources[].pattern using regexp.MatchString. In Go, regexp.MatchString reports a match if the pattern matches anywhere in the string, so common unanchored patterns (including examples in tekton documentation) can be bypassed by attacker-controlled source strings that contain the trusted pattern as a substring. This can cause an unintended policy match and change which verification mode/keys apply.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:NLinuxfoundation Tekton Pipelines
APPLinuxfoundation0.43.0 – 1.11.0 (bez)
Powiązane podatności
Path traversal w Tekton Pipelines git resolver — odczyt dowolnych plików
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. Starting in version...
Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. Starting in version...
Projekt Tekton Pipelines udostępnia zasoby w stylu k8s do deklarowania pipelinów CI/CD. Przed wersją 1.11.1 ob...
Projekt Tekton Pipelines zapewnia zasoby o stylistyce k8s do deklarowania pipelineów CI/CD. Przed wersją 1.11....