🇰🇷 한글 설명
Fission 1.24.0 이전 버전에서는 Environment 및 Builder의 podSpec 전달 과정에서 검증이 누락되어 위험한 설정이 생성된 파드에 전달될 수 있습니다. 이로 인해 공격자가 Kubernetes 환경에서 권한 상승 또는 임의 코드 실행을 유도할 수 있는 심각한 취약점이 존재합니다.
💡 쉬운 설명
Fission 서버리스 프레임워크의 설정 과정에서 보안 검증이 제대로 되지 않아 해커가 시스템에 침입할 수 있는 구멍이 있었습니다. 이 문제는 최신 버전으로 업데이트하면 즉시 해결됩니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, the Environment.spec.runtime.podSpec / spec.builder.podSpec passthrough lacked validation, and MergePodSpec propagated dangerous fields into the generated pods. This issue has been patched in version 1.24.0.
📍 영향받는 시스템
Fission version < 1.24.0
⚔️ 공격 벡터
환경 설정을 통해 악의적인 podSpec 필드를 주입하여 컨테이너 권한 상승 또는 임의 코드 실행
🛡️ 대응 방법
Fission을 버전 1.24.0 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력 결과가 1.24.0이 아니거나 버전 정보가 없으면 취약한 버전이 설치되어 있습니다.
fission version 2>/dev/null | grep -E 'version' | grep -v '1.24.0'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server