🇰🇷 한글 설명
Fission 1.25.0 이전 버전은 HTTPTrigger 생성 시 RelativeURL 및 Prefix 필드에 대한 유효성 검사를 건너뛰는 결함이 있습니다. 이 결함으로 인해 kubectl 또는 REST API를 통해 직접 리소스를 생성할 경우 URL 관련 검증이 우회될 수 있습니다.
💡 쉬운 설명
서버리스 프레임워크 Fission에서 URL 설정 시 잘못된 값이 입력되어도 경고 없이 넘어가는 문제가 있었습니다. 이는 관리자가 의도하지 않은 잘못된 URL 설정이 시스템에 적용될 수 있는 원인이 됩니다.
🇺🇸 원문 (English)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.25.0, HTTPTriggerSpec.Validate() validated Methods, FunctionReference, Host, IngressConfig, and CorsConfig, but silently skipped RelativeURL and Prefix. Those two fields were validated at the CLI level only (pkg/fission-cli/cmd/httptrigger/create.go:83). The post-CRD-modernization webhook for HTTPTrigger was retired in favor of API-server CEL — and CEL had no rules on those fields either — so an HTTPTrigger created via kubectl apply or a direct Kubernetes REST API call bypassed every URL-level check. This issue has been patched in version 1.25.0.
📍 영향받는 시스템
Fission < 1.25.0
⚔️ 공격 벡터
kubectl apply 또는 Kubernetes REST API를 통한 HTTPTrigger 리소스 직접 생성
🛡️ 대응 방법
Fission을 버전 1.25.0 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 실행 시 1.24 이하 버전이 출력되면 취약하며, 1.25.0 이상이거나 오류가 발생하면 패치된 상태입니다.
fission version 2>/dev/null | grep -E '1\.2[0-4]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server