🇰🇷 한글 설명
Fission 1.24.0 이전 버전은 환경 CRD의 podSpec 필드를 검증 없이 Kubernetes 파드 스펙에 병합하여 호스트 네트워크, PID, IPC 접근 및 특권 컨테이너 실행을 허용합니다. 이로 인해 공격자가 호스트 시스템에 대한 광범위한 접근 권한을 획득할 수 있는 심각한 취약점이 발생합니다.
💡 쉬운 설명
Fission 서버리스 프레임워크의 설정 과정에서 보안 검사를 건너뛰어 시스템의 핵심 권한을 외부에 노출시키는 결함이 있습니다. 이 결함을 이용하면 해커가 서버 전체를 장악할 수 있는 매우 위험한 상태가 됩니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, Fission's Environment CRD exposes spec.runtime.podSpec and spec.builder.podSpec, which are merged into the Kubernetes pod specs for runtime and builder pods. The merge logic propagated hostNetwork, hostPID, hostIPC, container privileged, and serviceAccountName from the user-supplied podspec with no filtering, and Environment.Validate performed no security-relevant checks on these fields. This issue has been patched in version 1.24.0.
📍 영향받는 시스템
Fission version < 1.24.0
⚔️ 공격 벡터
악의적인 podSpec을 Environment CRD에 제출하여 호스트 리소스 및 특권 권한 탈취
🛡️ 대응 방법
Fission을 최신 안정 버전인 1.24.0 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
명령어 실행 결과 'VULNERABLE'이 출력되면 취약한 버전이므로 즉시 업그레이드가 필요하며 'PATCHED'가 출력되면 안전한 버전입니다.
fission version --client 2>/dev/null | grep -oP '\d+\.\d+\.\d+' | awk -F. '{if ($1<1 || ($1==1 && $2<24)) print "VULNERABLE"; else print "PATCHED"}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server