Проект Tekton Pipelines предоставляет ресурсы в стиле k8s для декларирования трубопроводов в стиле CI/CD. Версий 0.60.0 до 1.0.0, 1.1.0 до …

Проект Tekton Pipelines предоставляет ресурсы в стиле k8s для декларирования трубопроводов в стиле CI/CD. Версий 0.60.0 до 1.0.0, 1.1.0 до 1.3.2, 1.4.0 до 1.6.0, 1.7.0, 1.0.0, 1.10.0 и 1.10.1 имеют уязвимость отказа в обслуживании, в которой позволяет любому пользователю, который может создать TaskRun или PipelineRun, разбивать контроллер в масштабах всего кластера, установив .spec.taskResolver (. Сбой происходит потому, что GenerateDeterministicNameFromSpec производит имя, превышающее 63-символьный предел ярлыка DNS-1123, и его логика усечения паникует на [-1] срезе, связанном, поскольку сгенерированное имя не содержит пробелов. После сбоя контроллер вступает в CrashLoopBackOff при перезапуске (по мере повторной выверкиющего ресурса-нарушителя), блокируя всю выверку CI/CD до тех пор, пока ресурс не будет удален вручную. Встроенные решатели (git, кластер, пучки, концентраторы) не затронуты из-за их коротких имен, но любое пользовательское имя резолвера вызывает ошибку. Исправление урезает префикс «преисполнитель» вместо полной струны, сохраняя суффикс хэша для детерминизма и уникальности. Эта проблема была исправлена в версиях 1.0.1, 1.3.3, 1.6.1, 1.9.2 и 1.10.2.