🇰🇷 한글 설명
Fission 1.24.0 이전 버전에서는 빌더 파드가 서비스 계정 토큰을 자동으로 마운트하도록 구성되어 있어, 악의적인 사용자가 파드 내부의 민감한 Kubernetes 자격 증명을 탈취할 수 있습니다. 이 취약점은 버전 1.24.0에서 서비스 계정 토큰 자동 마운트를 비활성화하여 패치되었습니다.
💡 쉬운 설명
Fission의 이전 버전에서는 서버리스 함수 실행 시 Kubernetes의 내부 인증 정보가 자동으로 노출되는 문제가 있었습니다. 이를 방지하기 위해 최신 버전으로 업그레이드하여 자동 인증 정보 마운트 기능을 비활성화해야 합니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, Fission builder pods were created with ServiceAccountName: fission-builder and no AutomountServiceAccountToken: false, so the kubelet auto-mounted the service-account token into every container in the pod — including the user-supplied builder image. This issue has been patched in version 1.24.0.
📍 영향받는 시스템
Fission version < 1.24.0
⚔️ 공격 벡터
로컬 파드 접근을 통한 서비스 계정 토큰 탈취
🛡️ 대응 방법
Fission을 버전 1.24.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력값이 false이거나 해당 필드가 명시적으로 설정되어 있지 않다면 취약한 상태일 수 있으므로 버전을 확인해야 합니다.
kubectl get pods -n fission-builder -o jsonpath='{.items[*].spec.automountServiceAccountToken}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server