JVNDB-2026-013544

Linux Foundationのtekton pipelinesにおけるリソースの枯渇に関する脆弱性

Tekton Pipelines プロジェクトは、CI/CD スタイルのパイプラインを宣言するための Kubernetes スタイルのリソースを提供します。1.11.1 より前のバージョンでは、HTTP リゾルバーの FetchHttpResource 関数が、レスポンスボディのサイズ制限なしに io.ReadAll(resp.Body) を呼び出します。HTTP リゾルバーを参照する TaskRun または PipelineRun の作成権限を持つテナントは、攻撃者が制御する HTTP サーバーを指定でき、1 分のタイムアウトウィンドウ内で非常に大きなレスポンスボディを返すことが可能です。その結果、tekton-pipelines-resolvers ポッドは Kubernetes によって OOM キルされます。すべてのリゾルバータイプ（Git、Hub、Bundle、Cluster、HTTP）が同じポッドで実行されるため、このポッドのクラッシュによりクラスター全体の解決サービスが拒否されます。繰り返しの悪用は持続的なクラッシュループを引き起こします。同じ脆弱なコードパスは、非推奨となった pkg/resolution/resolver/http と現在の pkg/remoteresolution/resolver/http の両方の実装で存在します。この脆弱性は 1.11.1 で修正されています。

Linux Foundation

• tekton pipelines 1.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : HTTP Resolver Unbounded Response Body Read Enables Denial of Service via Memory Exhaustion  Advisory  tektoncd/pipeline  GitHub

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-40924

1. National Vulnerability Database (NVD) : CVE-2026-40924
2. 関連文書 : Release Tekton Pipeline release v1.11.1 "Javanese Jocasta"  tektoncd/pipeline  GitHub

• [2026年04月30日]
    掲載