CVE-2026-50570
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 miał lukę w walidacji bezpieczeństwa PodSpec dla CRD środowiska i funkcji. Luka ta pozwalała na dodanie nieautoryzowanej możliwości CAP_SYS_TIME, co umożliwiało uruchomienie kodu kontrolowanego przez atakującego.
Ocena ryzyka
Organizacje mogą być narażone na uruchamianie złośliwego kodu w kontenerach, co prowadzi do potencjalnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Fission do wersji 1.25.0 lub nowszej, aby usunąć tę lukę i zabezpieczyć środowisko przed nieautoryzowanym dostępem.
Inne podatności w Fission
Zobacz wszystkie- CVE-2026-50545Krytyczne
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. W wersjach przed 1.24.0 brakowało walidacji w Environment.spec.runtime.podSpec / spec.builder.podSpec, co prowadziło do propagacji niebezpiecznych pól do generowanych podów.
- CVE-2026-50569Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.25.0 nieprawidłowo walidował pola RelativeURL i Prefix w HTTPTriggerSpec.Validate(). Te pola były weryfikowane tylko na poziomie CLI, co pozwalało na obejście kontroli URL przy użyciu kubectl lub bezpośrednich wywołań REST API Kubernetes.
- CVE-2026-50567Wysokie
Fission to framework serverless oparty na Kubernetes, który przed wersją 1.25.0 miał lukę w funkcji Unarchive, umożliwiającą atakującym zapis plików w nieautoryzowanych lokalizacjach. Dzięki manipulacji nazwami archiwów, atakujący mógł zapisać pliki w katalogach innych użytkowników lub w wolumenach tajnych/konfiguracyjnych.
- CVE-2026-50565Średnie
Fission, framework serverless oparty na Kubernetes, przed wersją 1.24.0 tworzył pody budownicze z automatycznie montowanym tokenem konta usługi, co mogło prowadzić do nieautoryzowanego dostępu do zasobów. Problem został naprawiony w wersji 1.24.0.
- CVE-2026-49822Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, deweloper o niskich uprawnieniach mógł stworzyć KubernetesWatchTrigger (KWT) w swoim własnym namespace, co pozwalało na nawiązanie trwałego kanału nadzoru nad innym namespace.
- CVE-2026-49821Wysokie
Fission to framework serverless, natywny dla Kubernetes, który upraszcza wdrażanie funkcji i aplikacji. Przed wersją 1.24.0, kontroler buildermgr Fission przetwarzał CRD pakietów bez weryfikacji, czy namespace w Package.spec.environment odpowiada namespace w Package.metadata.
- CVE-2026-46618Średnie
Fission to framework serverless, natywny dla Kubernetes, który przed wersją 1.23.0 miał lukę w bezpieczeństwie. W pliku pkg/builder/builder.go, polecenie Environment.spec.builder.command było przekazywane bez walidacji, co umożliwiało wykonanie dowolnego kodu w kontekście podu budującego.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.25.0, Fission added PodSpec safety validation for tenant-facing Environment and Function CRDs (ValidatePodSpecSafety / ValidateContainerSafety admission webhook + sanitizeContainerSecurityContext executor merge layer), but the capability check was implemented as a fixed denylist of six Linux capabilities (SYS_ADMIN, NET_ADMIN, SYS_PTRACE, SYS_MODULE, DAC_READ_SEARCH, DAC_OVERRIDE). The denylist omitted CAP_SYS_TIME, among others. As a result, a tenant who could create a Function or Environment CRD could request securityContext.capabilities.add: ["SYS_TIME"], pass Fission's admission validation and merge-layer sanitization, and run attacker-controlled code with CAP_SYS_TIME in the resulting function or runtime container. This issue has been patched in version 1.25.0.