CVE-2026-46618
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.23.0 miał lukę w bezpieczeństwie. W pliku pkg/builder/builder.go, polecenie Environment.spec.builder.command było przekazywane bez walidacji, co umożliwiało wykonanie dowolnego kodu w kontekście podu budującego.
Ocena ryzyka
Luka ta pozwalała użytkownikom, którzy mogli tworzyć lub aktualizować CRD środowiska, na wskazanie dowolnego wykonywalnego pliku w obrazie budującym, co stwarzało poważne zagrożenie dla bezpieczeństwa aplikacji działających w Kubernetes.
Rekomendacja
Zaleca się aktualizację do wersji 1.23.0 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji poleceń w przyszłości.
Inne podatności w Fission
Zobacz wszystkie- CVE-2026-50545Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 brakowało walidacji w Environment.spec.runtime.podSpec / spec.builder.podSpec, co prowadziło do propagacji niebezpiecznych pól do generowanych podów.
- CVE-2026-50570Wysokie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 miał lukę w walidacji bezpieczeństwa PodSpec dla CRD środowiska i funkcji. Luka ta pozwalała na dodanie nieautoryzowanej możliwości CAP_SYS_TIME, co umożliwiało uruchomienie kodu kontrolowanego przez atakującego.
- CVE-2026-50569Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 nieprawidłowo walidował pola RelativeURL i Prefix w HTTPTriggerSpec.Validate(). Te pola były weryfikowane tylko na poziomie CLI, co pozwalało na obejście kontroli URL przy użyciu kubectl lub bezpośrednich wywołań REST API Kubernetes.
- CVE-2026-50567Wysokie
Fission to framework serverless oparty na Kubernetes, który przed wersją 1.25.0 miał lukę w funkcji Unarchive, umożliwiającą atakującym zapis plików w nieautoryzowanych lokalizacjach. Dzięki manipulacji nazwami archiwów, atakujący mógł zapisać pliki w katalogach innych użytkowników lub w wolumenach tajnych/konfiguracyjnych.
- CVE-2026-50565Średnie
Fission, framework serverless oparty na Kubernetes, przed wersją 1.24.0 tworzył pody budownicze z automatycznie montowanym tokenem konta usługi, co mogło prowadzić do nieautoryzowanego dostępu do zasobów. Problem został naprawiony w wersji 1.24.0.
- CVE-2026-49822Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, deweloper o niskich uprawnieniach mógł stworzyć KubernetesWatchTrigger (KWT) w swoim własnym namespace, co pozwalało na nawiązanie trwałego kanału nadzoru nad innym namespace.
- CVE-2026-49821Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, kontroler buildermgr Fission przetwarzał CRD pakietów bez weryfikacji, czy namespace w Package.spec.environment odpowiada namespace w Package.metadata.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.23.0, before the round-1 security sweep, pkg/builder/builder.go passed Environment.spec.builder.command directly into exec.Command(...) after a strings.Fields split, with no validation of the executable path or its arguments. A user who could create or update Environment CRDs in a namespace observed by the buildermgr could thereby point the builder pod at any executable inside the builder image (e.g. /bin/sh -c '...') and execute arbitrary code in the builder pod context. This issue has been patched in version 1.23.0.