Fission 命名空间越权漏洞修复（GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww）

漏洞概述 该漏洞涉及两个混淆的代理原语，低权限主体 可以调度一个控制器中介的动作，针对受害者 。具体包括： 1. GHSA-vjhc-c14p-72q4： 指向另一个命名空间，导致构建器（集群范围的 SA）将构建内容泄露到攻击者的 pod 的 SA token / Secret / ConfigMap 内容，通过 。 2. GHSA-gc3j-79f2-7vww： 指向另一个命名空间，导致 kubewatcher（集群范围的 watch on Pod/Services/RCs/Jobs）从该命名空间流式传输每个事件（包括 、 、 、 名称、 ）直接到攻击者的函数。 影响范围 Package： 指向另一个命名空间。 KubernetesWatchTrigger： 指向另一个命名空间。 修复方案 Package (GHSA-vjhc-c14p-72q4) pkg/webhook/package.go:Validate：拒绝 （空允许，控制器默认为包命名空间）。 pkg/builder/pkgwatcher.go:build：在 之前添加守卫；如果跨命名空间，写入 并附带清晰消息和短路。 pkg/builder/common.go:buildPackage：在函数返回前添加守卫；如果跨命名空间，返回 。 KubernetesWatchTrigger (GHSA-gc3j-79f2-7vww) pkg/webhook/kuberneteswatchtrigger.go：kubewatcher 标记 （图表的 已存在 ，标记滞后——这对齐了源-of-truth）。 拒绝跨命名空间 。 pkg/kubewatcher/kubewatcher.go:createKubernetesWatch：守卫跨命名空间 + 强制空 到触发器的自身命名空间，而不是之前的“所有命名空间”语义。 测试（新） pkg/webhook/package_test.go：跨命名空间拒绝的测试表。 pkg/webhook/kuberneteswatchtrigger_test.go：跨命名空间拒绝；空 被上游 拒绝，作为回归金丝雀，我们注意到上游验证更宽松。 pkg/kubewatcher/kubewatcher_test.go：假客户端测试验证（1）跨命名空间守卫在 watch 拨号前短路；（2）空 被强制到触发器命名空间；（3）同命名空间仍然有效。 行为变更 KubernetesWatchTrigger 的空 现在只监视触发器的自身命名空间，而不是所有命名空间。 未变更事项 crds/v1/.yaml：未添加 CEL 规则（推迟到设计规范；需要 controller-gen schema-block 工作在此 PR 之外）。 charts/fission-all/templates/webhook-server/webhooks.yaml：已正确（ 用于 KWT）。 pkg/generated/**：无 API 类型变更；无需代码生成。 测试计划 — 0 错误 — 绿色 CI 绿色（推送 PR 工作流在此分支上） 手动：在 kind 集群中， 一个 ，其 指向一个外部命名空间 — 期望准入拒绝与新消息。 手动： 一个 ，其 指向一个外部命名空间 — 期望准入拒绝。 手动：确认正常同命名空间 KWT 仍然接收 Pod 事件。 POC 代码

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Fission 命名空间越权漏洞修复（GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww）

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Fission 命名空间越权漏洞修复（GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww）

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！