CVE-2026-54462

Nome do Software Vulnerável e Versões Afetadas Knative pkg versões anteriores a 0.0.0-20260531000007-52dbd5ece63f

Descrição O admissionHandler em webhook/admission.go decodifica um AdmissionReview fornecido por um invasor usando json.NewDecoder(io.TeeReader(r.Body, &bodyBuffer)) dentro de um http.HandlerFunc sem implementar um http.MaxBytesReader ou um limite de tamanho de corpo similar. Um cliente de rede de pod pode enviar uma requisição POST excessivamente grande para um webhook de admissão, fazendo com que o decodificador e o bodyBuffer mantenham cópias amplificadas da requisição. Isso pode resultar no esgotamento da memória do pod controlador e no seu encerramento por OOM-killed (Out-Of-Memory killed), que é um estado onde o sistema operacional encerra um processo por ter consumido muita RAM. Consumidores downstream que utilizam o servidor de webhook compartilhado, como Knative, Tekton, KEDA, Sigstore policy-controller e Kpack, herdam esse comportamento. Dependendo da configuração da failurePolicy, isso pode interromper a admissão se configurada como Fail ou tornar o webhook afetado indisponível se configurada como Ignore.

Recomendações Atualizar para a versão 0.0.0-20260531000007-52dbd5ece63f.