🇰🇷 한글 설명
Fission 1.23.0 미만 버전에서 런타임 파드의 자동 마운트 토큰을 통해 사용자 함수 코드가 네임스페이스 내 모든 시크릿과 ConfigMap을 읽을 수 있는 권한 상승 취약점이 존재합니다. 이는 함수 사양에서 명시된 시크릿 허용 목록을 우회하여 데이터 유출을 초래할 수 있습니다.
💡 쉬운 설명
서버리스 프레임워크 Fission의 설정 오류로 인해 개발자가 작성한 코드에 원치 않는 높은 권한이 부여됩니다. 이로 인해 공격자가 시스템의 중요한 비밀 정보나 설정 파일을 무단으로 열람할 수 있습니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.23.0, Fission runtime pods were created with ServiceAccountName: fission-fetcher, and the fission-fetcher ServiceAccount was granted namespace-wide get on secrets and configmaps (it needs that to load function code, env vars, and config). The runtime pod's automounted token was reachable from inside the user's function container at /var/run/secrets/kubernetes.io/serviceaccount/token, so user-supplied function code inherited the same Kubernetes API privileges and could read any secret or configmap in the function's namespace — far beyond the Function.spec.secrets allowlist that the function specification suggests. This issue has been patched in version 1.23.0.
📍 영향받는 시스템
Fission version < 1.23.0
⚔️ 공격 벡터
사용자 정의 함수 코드를 통해 자동 마운트된 서비스 계정 토큰을 악용하여 Kubernetes API를 호출
🛡️ 대응 방법
Fission을 버전 1.23.0 이상으로 업그레이드하여 패치 적용
🔧 검증 코드
명령어 실행 시 1.23.0 미만의 버전 번호가 출력되면 취약한 버전으로 판단
fission version 2>/dev/null | grep -E '1\.2[0-2]\.'
💻 영향받는 소프트웨어
IBM WebSphere Application Server