🇰🇷 한글 설명
Fission 1.23.0 미만의 storagesvc 컴포넌트는 아카이브 CRUD API에 대한 인증 및 권한 부여를 수행하지 않습니다. 이로 인해 클러스터 내 다른 워크로드가 아카이브를 열람, 다운로드, 업로드 및 삭제할 수 있는 위험이 있습니다.
💡 쉬운 설명
Fission의 일부 기능이 보안 검사 없이 작동하여 외부에서 데이터를 마음대로 조작할 수 있습니다. 이를 방지하려면 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.23.0, the Fission storagesvc component registers archive CRUD handlers (/v1/archive GET / POST / DELETE and /v1/archives list) directly on its HTTP router without performing any authentication or authorization. Any caller able to reach the storagesvc ClusterIP — including any other workload in the same Kubernetes cluster — could enumerate archive IDs, download archives belonging to other tenants, upload arbitrary archive content, and delete archives. This issue has been patched in version 1.23.0.
📍 영향받는 시스템
Fission < 1.23.0
⚔️ 공격 벡터
클러스터 내부 네트워크를 통해 인증 없이 API 엔드포인트에 접근하여 아카이브 데이터를 조작
🛡️ 대응 방법
Fission을 버전 1.23.0 이상으로 업그레이드하여 패치 적용
🔧 검증 코드
출력된 버전 번호가 1.23.0 미만인 경우 취약한 것으로 판단하며, 1.23.0 이상이면 안전한 상태입니다.
helm list -A -o json | jq -r '.[] | select(.chart | test("^fission-")) | .chart | split("-") | .[1]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server