JVNDB-2026-009264

Linux Foundationのtekton pipelinesにおけるパストラバーサルの脆弱性

Tekton Pipelinesプロジェクトは、CI/CDスタイルのパイプラインを宣言するためのk8sスタイルのリソースを提供しています。バージョン1.0.0以前の1.0.1、1.3.3、1.6.1、1.9.2、および1.10.2より前のバージョンにおいて、Tekton Pipelinesのgitリゾルバは`pathInRepo`パラメータを通じたパストラバーサルの脆弱性が存在します。`ResolutionRequests`を作成する権限を持つテナント（例：gitリゾルバを使う`TaskRuns`や`PipelineRuns`を作成する者）は、リゾルバポッドのファイルシステムから任意のファイルを読み取ることができ、ServiceAccountのトークンも取得できます。ファイルの内容は`resolutionrequest.status.data`にBase64エンコードされた状態で返されます。バージョン1.0.1、1.3.3、1.6.1、1.9.2、および1.10.2には、この脆弱性を修正するパッチが含まれています。

Linux Foundation

• tekton pipelines 1.1.0 以上 1.3.3 未満
• tekton pipelines 1.10.0 以上 1.10.2 未満
• tekton pipelines 1.4.0 以上 1.6.1 未満
• tekton pipelines 1.7.0 以上 1.9.2 未満
• tekton pipelines 1.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path traversal in Tekton Pipelines git resolver allows reading arbitrary files from the resolver pod  Advisory  tektoncd/pipeline  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-33211

1. National Vulnerability Database (NVD) : CVE-2026-33211
2. 関連文書 : fix: resolve Git Anonymous Resolver excessive memory usage  tektoncd/pipeline@318006c  GitHub
3. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@b1fee65  GitHub
4. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@3ca7bc6  GitHub
5. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@961388f  GitHub
6. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@10fa538  GitHub
7. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@cdb4e1e  GitHub
8. 関連文書 : fix: prevent path traversal in git resolver pathInRepo parameter  tektoncd/pipeline@ec77550  GitHub

• [2026年03月31日]
    掲載