- Yama var
- Son 7 gün
- CWE-770
CVE-2026-54462
admission webhook'ları sınırsız istek gövdesi nedeniyle bellek tüketimine açık
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, küme içindeki bazı yönetim bileşenlerinin çökmesine ve kritik kaynak oluşturma veya güncelleme işlemlerinin durmasına yol açabilir. Etkilenen bileşenler yaygın olarak kullanıldığından, yama uygulamak operasyonel süreklilik açısından öncelikli olmalıdır.
ÖzetTürkçe
paketindeki admission webhook işleyicisi, gelen AdmissionReview isteğinin boyutunu sınırlamadan okuyup çözümlemektedir. Bu nedenle bir saldırgan, pod ağına erişimi olan bir istemci üzerinden çok büyük bir POST isteği göndererek denetleyici podunun belleğini tüketebilir. Etkilenen sürümler, bu ortak webhook sunucusunu kullanan Knative, Tekton, KEDA, Sigstore policy-controller ve Kpack gibi tüm alt bileşenleri kapsamaktadır.
Saldırgan ne yapabilir?
Saldırgan, denetleyici podunun bellek sınırının aşılmasına ve OOM nedeniyle sonlandırılmasına yol açarak webhook hizmetini kesintiye uğratabilir. failurePolicy=Fail yapılandırılmış ortamlarda bu durum kümedeki kabul (admission) işlemlerini aksatabilir.
Kaynaktaki açıklama (İngilizce)
Knative pkg provides common packages shared across Knative repositories. Prior to 0.0.0-20260531000007-52dbd5ece63f, the knative.dev/pkg/webhook admissionHandler in webhook/admission.go decodes an attacker-supplied AdmissionReview through json.NewDecoder(io.TeeReader(r.Body, &bodyBuffer)) under an http.HandlerFunc without an http.MaxBytesReader or equivalent body-size limit. A pod-network client can send one oversized POST to an admission webhook, causing the decoder and bodyBuffer to retain amplified copies of the request until the controller pod exhausts memory and is OOM-killed. Every downstream consumer using the shared webhook server inherits the vulnerable behavior, including Knative, Tekton, KEDA, Sigstore policy-controller, and Kpack. For consumers configured with failurePolicy=Fail, loss of the controller can interrupt admission; with failurePolicy=Ignore, the affected webhook is unavailable while other admissions continue. This issue is fixed in version 0.0.0-20260531000007-52dbd5ece63f.
Ne yapmalı?
- paketini 0.0.0-20260531000007-52dbd5ece63f veya daha yeni bir sürüme güncelleyin. Üretici
- Knative, Tekton, KEDA, Sigstore policy-controller, Kpack gibi bu paketi kullanan bileşenlerin, düzeltilmiş paketi içeren sürümlerini kullanıp kullanmadığınızı kontrol edin ve gerekiyorsa güncelleyin. Genel öneri
- Yama uygulanana kadar webhook podlarının bellek kullanımını izleyin ve beklenmedik OOM sonlandırmalarına karşı uyarı kuralları oluşturun. Genel öneri
Ek önlemler
- Webhook servislerine yalnızca gerekli ağ istemcilerinden erişime izin verecek ağ politikaları uygulayın. Genel öneri
- Webhook podları için bellek limitlerini ve yeniden başlatma sayılarını düzenli olarak izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| knative pkg | < 0.0.0-20260531000007-52dbd5ece63f | 0.0.0-20260531000007-52dbd5ece63f |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.