CVE-2026-49822
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, deweloper o niskich uprawnieniach mógł stworzyć KubernetesWatchTrigger (KWT) w swoim własnym namespace, co pozwalało na nawiązanie trwałego kanału nadzoru nad innym namespace.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych w innych namespace'ach, co może prowadzić do wycieku informacji lub naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 1.24.0 lub nowszej, aby usunąć tę podatność oraz ograniczenie uprawnień deweloperów do tworzenia KWT w innych namespace'ach.
Inne podatności w Fission
Zobacz wszystkie- CVE-2026-50545Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 brakowało walidacji w Environment.spec.runtime.podSpec / spec.builder.podSpec, co prowadziło do propagacji niebezpiecznych pól do generowanych podów.
- CVE-2026-50570Wysokie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 miał lukę w walidacji bezpieczeństwa PodSpec dla CRD środowiska i funkcji. Luka ta pozwalała na dodanie nieautoryzowanej możliwości CAP_SYS_TIME, co umożliwiało uruchomienie kodu kontrolowanego przez atakującego.
- CVE-2026-50569Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 nieprawidłowo walidował pola RelativeURL i Prefix w HTTPTriggerSpec.Validate(). Te pola były weryfikowane tylko na poziomie CLI, co pozwalało na obejście kontroli URL przy użyciu kubectl lub bezpośrednich wywołań REST API Kubernetes.
- CVE-2026-50567Wysokie
Fission to framework serverless oparty na Kubernetes, który przed wersją 1.25.0 miał lukę w funkcji Unarchive, umożliwiającą atakującym zapis plików w nieautoryzowanych lokalizacjach. Dzięki manipulacji nazwami archiwów, atakujący mógł zapisać pliki w katalogach innych użytkowników lub w wolumenach tajnych/konfiguracyjnych.
- CVE-2026-50565Średnie
Fission, framework serverless oparty na Kubernetes, przed wersją 1.24.0 tworzył pody budownicze z automatycznie montowanym tokenem konta usługi, co mogło prowadzić do nieautoryzowanego dostępu do zasobów. Problem został naprawiony w wersji 1.24.0.
- CVE-2026-49821Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, kontroler buildermgr Fission przetwarzał CRD pakietów bez weryfikacji, czy namespace w Package.spec.environment odpowiada namespace w Package.metadata.
- CVE-2026-46618Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.23.0 miał lukę w bezpieczeństwie. W pliku pkg/builder/builder.go, polecenie Environment.spec.builder.command było przekazywane bez walidacji, co umożliwiało wykonanie dowolnego kodu w kontekście podu budującego.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, a low-privilege developer who could create a KubernetesWatchTrigger (KWT) in their own namespace was able to establish a persistent surveillance channel over any other namespace. This issue has been patched in version 1.24.0.