Fission v1.24.0 Container Capabilities Validation Bypass via Incomplete Deny List

漏洞概述 在Fission v1.24.0中，对租户可见的Environment和Function CRDs（ / ）的PodSpec安全性验证存在不完整的能力拒绝列表。具体来说， 的webhook admission和 的executor merge layer中，能力检查被实现为Linux能力的硬编码拒绝列表（ , , , , , , ）。然而， 的webhook admission遗漏了 等能力。这导致租户可以通过创建Environment或Function CRD并请求 ，绕过Fission的准入验证和merge层清理，从而在函数或运行时容器中获取 能力。 影响范围 受影响版本：Fission v1.24.0及以下版本。 影响组件： （ ）和 （ ）。 前提条件：集群未对函数pod命名空间强制执行严格的Pod Security Admission (PSA) 配置文件。如果PSA配置文件强制要求API服务器的PodSpec准入拒绝该创建，则此发现不适用。Fission添加了自己的PodSpec验证，因为它不能假设PSA强制执行。 修复方案 修复版本：Fission v1.25.0。 修复内容： - PR #1660（提交 ）：用PSA受限的allowlist（ 仅）替换两个执行层中的硬编码拒绝列表。 - ： 现在拒绝任何能力添加条目在 中。容器检查从 为每个PodSpec容器调用，包括 和 用于裸运行时容器/构建器容器。 - ： 过滤能力添加，通过在每个合并层（pooling / newdeploy / container executor / builder）中强制执行。 - 同一PR还添加了21个绑定CEL验证规则，覆盖cheap pod-level入侵（ / / / / ）在 和 上，加上 检查（ / / / / ）在 和 上。API服务器现在在CRD验证之前短路这些攻击向量，因为webhook被调用。每个容器安全层在webhook中调用，因为它超过API服务器的CEL成本预算。 - 同一PR还添加了两个前向兼容回归守卫在 中： - ：每个CRD类型运行反射和失败如果任何可达 或 字段从主机维护的覆盖列表中被遗漏。 - ：端到端执行每个覆盖表面并断言 拒绝 注入在该确切点。 未在v1.25.0中解决的问题 建议的结构修复，强制 在合并层，不是此修复的一部分。Fission的sidecar容器（ , ）是针对OCI默认能力集和需要每个容器能力审计之前 。可以在应用默认值。 的allowlist关闭了演示的 影响，OCI默认能力问题（该建议文件本身标记为条件/未演示）被单独跟踪。

目標達成すべての支援者に感謝 — 100%達成しました！

Fission v1.24.0 Container Capabilities Validation Bypass via Incomplete Deny List

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Fission v1.24.0 Container Capabilities Validation Bypass via Incomplete Deny List

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！