CVE-2026-55108

Nome do Software Vulnerável e Versões Afetadas KubeVela versões anteriores a 1.9.14 KubeVela versões 1.10.0-alpha.1 até 1.10.8 KubeVela versões 1.11.0-alpha.1 até 1.11.0-alpha.3

Description O carregador de configuração remota do Terraform no KubeVela pode ser abusado para causar a negação de serviço do plano de controle. Um usuário com permissões para criar ou atualizar objetos core.oam.dev/v1beta1 ComponentDefinition pode registrar um esquema remoto do Terraform apontando para um repositório git malicioso. Se o repositório contiver um link simbólico variables.tf ou main.tf que resolva para /dev/zero, a função GetTerraformConfigurationFromRemote() em pkg/controller/utils/capability.go seguirá o link e lerá um fluxo de bytes ilimitado para a memória usando os.ReadFile(). Isso ocorre antes que a análise de HCL possa rejeitar o conteúdo, levando ao esgotamento da memória que pode causar o OOM-kill do controlador vela-core de todo o cluster, causar reinicializações repetidas do Pod e pressionar a memória do nó se nenhum limite de contêiner for configurado.

Recommendations Atualize para a versão 1.9.14. Atualize para a versão 1.10.9. Atualize para a versão 1.11.0-alpha.4.