JVNDB-2026-009038

Linux Foundationのtekton pipelinesにおける配列インデックスの検証に関する脆弱性

Tekton Pipelinesプロジェクトは、CI/CDスタイルのパイプラインを宣言するためのKubernetesスタイルのリソースを提供しています。バージョン0.60.0から1.0.0、1.1.0から1.3.2、1.4.0から1.6.0、1.7.0から1.9.0、1.10.0、および1.10.1には、TaskRunまたはPipelineRunを作成できる任意のユーザーが.spec.taskRef.resolver（または.spec.pipelineRef.resolver）を31文字以上の文字列に設定すると、コントローラーをクラスター全体でクラッシュさせることができるサービス拒否の脆弱性があります。このクラッシュは、GenerateDeterministicNameFromSpecがDNS-1123ラベルの63文字制限を超える名前を生成し、その切り捨てロジックが生成された名前にスペースが含まれていないため、[-1]のスライス範囲でパニックを起こして発生します。一度クラッシュすると、コントローラーは再起動時に（問題のあるリソースを再調整するために）CrashLoopBackOff状態に入り、リソースが手動で削除されるまで全てのCI/CD調整がブロックされます。組み込みのリゾルバー（git、cluster、bundles、hub）は名前が短いため影響を受けませんが、カスタムリゾルバーの名前はこのバグを引き起こします。修正では、全文字列の切り捨てではなくリゾルバ名の接頭辞を切り詰めて、決定性と一意性を保つためにハッシュの接尾辞を保持しています。この問題は1.0.1、1.3.3、1.6.1、1.9.2、および1.10.2のバージョンで修正されています。

Linux Foundation

• tekton pipelines 0.60.0 以上 1.0.1 未満
• tekton pipelines 1.1.0 以上 1.3.3 未満
• tekton pipelines 1.10.0 以上 1.10.2 未満
• tekton pipelines 1.4.0 以上 1.6.1 未満
• tekton pipelines 1.7.0 以上 1.9.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Tekton Pipelines controller panic via long resolver name in TaskRun/PipelineRun  Advisory  tektoncd/pipeline  GitHub

1. 配列インデックスの不適切な検証(CWE-129) [その他]

1. CVE-2026-33022

1. National Vulnerability Database (NVD) : CVE-2026-33022
2. 関連文書 : Fix panic in GenerateDeterministicNameFromSpec with long resolver names  tektoncd/pipeline@5eead3f  GitHub

• [2026年03月27日]
    掲載