🇰🇷 한글 설명
Fission 1.24.0 이전 버전에서는 낮은 권한의 개발자가 자신의 네임스페이스에서 KubernetesWatchTrigger를 생성하여 다른 모든 네임스페이스에 대한 지속적인 감시 채널을 설정할 수 있는 취약점이 존재합니다. 이 문제는 버전 1.24.0에서 패치되었습니다.
💡 쉬운 설명
이 취약점은 권한이 낮은 사용자가 다른 사용자의 데이터를 몰래 엿볼 수 있게 해줍니다. Fission을 사용하는 경우 반드시 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, a low-privilege developer who could create a KubernetesWatchTrigger (KWT) in their own namespace was able to establish a persistent surveillance channel over any other namespace. This issue has been patched in version 1.24.0.
📍 영향받는 시스템
Fission version < 1.24.0
⚔️ 공격 벡터
낮은 권한의 사용자가 자신의 네임스페이스에 KubernetesWatchTrigger를 생성하여 다른 네임스페이스의 데이터를 감시
🛡️ 대응 방법
Fission을 버전 1.24.0 이상으로 업그레이드합니다.
🔧 검증 코드
명령어 실행 시 1.24.0 미만의 버전 번호가 출력되면 취약한 버전이므로 업그레이드가 필요합니다.
fission version 2>/dev/null | grep -E '1.2[0-3]'