Fission Namespace Escaping Vulnerability Fix (GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww)

脆弱性概要 この脆弱性は2つのオベスクルドされたプロキシプリミティブに関するもので、権限の低い主体 が、犠牲者 に対してコントローラーを介したアクションをスケジューリングできます。具体的には以下の通りです： 1. GHSA-vjhc-c14p-72q4： が別の名前空間を指すことで、ビルダー（クラスタ範囲の ServiceAccount）がビルド内容を攻撃者の Pod の SA トークン / シークレット / ConfigMap の内容として 経由で漏洩させる。 2. GHSA-gc3j-79f2-7vww： が別の名前空間を指すことで、kubewatcher（Pod/Service/RC/Job に対するクラスタ範囲のウォッチ）がその名前空間から各イベント（ 、 、 、 名、 を含む）を攻撃者の関数にストリーミングで送信する。 影響範囲 Package： が別の名前空間を指す。 KubernetesWatchTrigger： が別の名前空間を指す。 修正方案 Package (GHSA-vjhc-c14p-72q4) pkg/webhook/package.go:Validate： を拒否（空は許可、コントローラーはデフォルトでパッケージの名前空間を使用）。 pkg/builder/pkgwatcher.go:build： の前にガードを追加；名前空間が異なる場合は を書き込み、明確なメッセージを添えて短絡させる。 pkg/builder/common.go:buildPackage：関数が返す前にガードを追加；名前空間が異なる場合は を返す。 KubernetesWatchTrigger (GHSA-gc3j-79f2-7vww) pkg/webhook/kuberneteswatchtrigger.go：kubewatcher は をマークする（チャートの には既に が存在し、マークが遅れていた——これにより事実ソースと整合した）。 が名前空間をまたぐ を拒否する。 pkg/kubewatcher/kubewatcher.go:createKubernetesWatch：名前空間をまたぐ場合のガード＋空の をトリガー自身の名前空間に強制する（従来の「すべての名前空間」というセマンティクスではなかった）。 テスト（新規） pkg/webhook/package_test.go：名前空間間をまたぐ拒否のためのテストテーブル。 pkg/webhook/kuberneteswatchtrigger_test.go：名前空間間をまたぐ拒否；空の は上流の によって拒否され、リグレッションカナリアとして、上流の検証の方がより緩やかであることに注意する。 pkg/kubewatcher/kubewatcher_test.go：フェイククライアントによるテストで検証する：（1）名前空間をまたぐガードがウォッチのダイアリング前に短絡すること；（2）空の がトリガーの名前空間に強制されること；（3）同じ名前空間の場合でも依然として有効であること。 行動変更 KubernetesWatchTrigger の空の は、トリガー自身の名前空間のみをウォッチするようになり、すべての名前空間をウォッチしなくなった。 変更なしの事項 crds/v1/.yaml：CEL ルールは追加されなかった（設計仕様への遅延；controller-gen スキーマブロック作業はこの PR の外にある）。 charts/fission-all/templates/webhook-server/webhooks.yaml：すでに正しく設定されている（KWT 用に が使用されている）。 pkg/generated/**：API タイプに変更はなく、コード生成は不要。 テスト計画 — エラー 0 件 — 全テスト合格（グリーン） CI グリーン（PR ワークフローがこのブランチで実行） 手動：kind クラスタで、 が外部名前空間を指す を する — 新規メッセージ付きのアドミッション拒否を期待。 手動： が外部名前空間を指す を する — アドミッション拒否を期待。 手動：通常の場合、同じ名前空間の KWT が引き続き Pod イベントを受信することを確認。 POC コード

目標達成すべての支援者に感謝 — 100%達成しました！

Fission Namespace Escaping Vulnerability Fix (GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Fission Namespace Escaping Vulnerability Fix (GHSA-vjhc-c14p-72q4, GHSA-gc3j-79f2-7vww)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！