CVE-2026-50565
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Fission, framework serverless oparty na Kubernetes, przed wersją 1.24.0 tworzył pody budownicze z automatycznie montowanym tokenem konta usługi, co mogło prowadzić do nieautoryzowanego dostępu do zasobów. Problem został naprawiony w wersji 1.24.0.
Ocena ryzyka
Organizacje mogły być narażone na nieautoryzowany dostęp do zasobów Kubernetes przez złośliwe obrazy budownicze. Wykorzystanie tej podatności mogło prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Fission do wersji 1.24.0 lub nowszej, aby usunąć ryzyko związane z automatycznym montowaniem tokenów konta usługi.
Inne podatności w Fission
Zobacz wszystkie- CVE-2026-50545Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 brakowało walidacji w Environment.spec.runtime.podSpec / spec.builder.podSpec, co prowadziło do propagacji niebezpiecznych pól do generowanych podów.
- CVE-2026-50570Wysokie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 miał lukę w walidacji bezpieczeństwa PodSpec dla CRD środowiska i funkcji. Luka ta pozwalała na dodanie nieautoryzowanej możliwości CAP_SYS_TIME, co umożliwiało uruchomienie kodu kontrolowanego przez atakującego.
- CVE-2026-50569Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 nieprawidłowo walidował pola RelativeURL i Prefix w HTTPTriggerSpec.Validate(). Te pola były weryfikowane tylko na poziomie CLI, co pozwalało na obejście kontroli URL przy użyciu kubectl lub bezpośrednich wywołań REST API Kubernetes.
- CVE-2026-50567Wysokie
Fission to framework serverless oparty na Kubernetes, który przed wersją 1.25.0 miał lukę w funkcji Unarchive, umożliwiającą atakującym zapis plików w nieautoryzowanych lokalizacjach. Dzięki manipulacji nazwami archiwów, atakujący mógł zapisać pliki w katalogach innych użytkowników lub w wolumenach tajnych/konfiguracyjnych.
- CVE-2026-49822Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, deweloper o niskich uprawnieniach mógł stworzyć KubernetesWatchTrigger (KWT) w swoim własnym namespace, co pozwalało na nawiązanie trwałego kanału nadzoru nad innym namespace.
- CVE-2026-49821Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, kontroler buildermgr Fission przetwarzał CRD pakietów bez weryfikacji, czy namespace w Package.spec.environment odpowiada namespace w Package.metadata.
- CVE-2026-46618Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.23.0 miał lukę w bezpieczeństwie. W pliku pkg/builder/builder.go, polecenie Environment.spec.builder.command było przekazywane bez walidacji, co umożliwiało wykonanie dowolnego kodu w kontekście podu budującego.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.24.0, Fission builder pods were created with ServiceAccountName: fission-builder and no AutomountServiceAccountToken: false, so the kubelet auto-mounted the service-account token into every container in the pod — including the user-supplied builder image. This issue has been patched in version 1.24.0.