🇰🇷 한글 설명
Fission 1.24.0 이전 버전의 Function admission webhook은 환경 변수의 네임스페이스를 검증하지 않아 보안 취약점이 존재합니다. 이로 인해 공격자가 다른 네임스페이스의 민감한 데이터를 함수에 연결하여 접근할 수 있습니다.
💡 쉬운 설명
Fission 서버리스 프레임워크의 설정 검증 기능에 구멍이 있어 잘못된 데이터가 들어올 수 있습니다. 공격자가 이 점을 이용해 다른 영역의 정보를 훔칠 위험이 있습니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, the Fission Function admission webhook (pkg/webhook/function.go) validated that spec.secrets[].namespace and spec.configmaps[].namespace equalled the function's own namespace but performed no equivalent check on spec.environment.namespace. This issue has been patched in version 1.24.0.
📍 영향받는 시스템
Fission version < 1.24.0
⚔️ 공격 벡터
다른 네임스페이스의 시크릿 또는 설정맵을 함수에 연결하여 정보 유출
🛡️ 대응 방법
Fission을 버전 1.24.0 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 실행 시 1.24.0 미만의 버전 번호가 출력되면 취약한 버전입니다.
fission version 2>/dev/null | grep -E '1.2[0-3]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server