FissionにおけるPodSpec注入の脆弱性によるクラスタ乗っ取り

FissionのEnvironment CRDにおいて、PodSpecの検証不足および更新時のWebhookバイパスにより、悪意のあるPodSpecが注入される脆弱性が存在する。攻撃者は、特権付きPodをスケジュールし、ホストパスへのアクセス権を取得することで、クラスタCA秘密鍵を読み取ることが可能である。これにより、攻撃者はkubelet証明書を偽造し、クラスタ全体を乗っ取ることができる。この問題は、検証ロジックの強化、Webhookの更新処理の修正、およびマージ時の危険なフィールドの除去によって修正された。