Tekton Pipelines git リゾルバーにおけるパストラバーサルにより、リゾルバーポッドから任意のファイルを読み取れる

この脆弱性は、Tekton Pipelinesを使用している環境において、権限昇格攻撃や機密情報の窃取につながる可能性があります。攻撃者は、pathInRepoパラメータを悪用し、リゾルバーポッドのファイルシステムから任意のファイルを読み取ることができます。特に、ServiceAccountトークンが漏洩した場合、攻撃者はそのトークンを使用してKubernetesクラスタ内の他のリソースにアクセスし、さらなる攻撃を実行する可能性があります。この脆弱性は、類似のファイルアクセス脆弱性と同様に、広範囲な影響を及ぼす可能性があります。

Organizations utilizing Tekton Pipelines for CI/CD workflows, particularly those with complex permission structures granting tenants the ability to create ResolutionRequests, are at risk. Shared Kubernetes clusters where multiple teams or projects share resources are also particularly vulnerable, as a compromised tenant could potentially impact other workloads.

• linux / server:

journalctl -u tekton-git-resolver -g 'pathInRepo' | grep -i 'file content'

• linux / server:

ps aux | grep -i 'github.com/tektoncd/pipeline/pkg/resolution/resolver/git/repository.go'

• generic web:

curl -I 'http://<tekton-resolver-url>/resolutionrequest?pathInRepo=/../../../../etc/passwd' # Check for 200 OK response indicating file access

1. 2026-03-18Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-18
3. 更新日2026-03-25
4. EPSS 更新日2026-03-31

この脆弱性への対応として、速やかにTekton Pipelinesをバージョン1.0.1にアップデートすることを推奨します。アップデートが困難な場合は、gitリゾルバーへのアクセスを制限するネットワークポリシーを実装するか、pathInRepoパラメータの入力を厳密に検証するカスタムロジックを導入することを検討してください。また、ServiceAccountトークンのローテーションを定期的に実施し、漏洩した場合の影響を最小限に抑えるようにしてください。アップデート後、resolutionrequest.status.dataに予期しないファイルコンテンツが含まれていないか確認することで、修正が正しく適用されていることを検証できます。