CVE-2026-46617

Nome do Software Vulnerável e Versões Afetadas Fission versões anteriores a 1.23.0

Description Pods de runtime foram configurados com a ServiceAccount fission-fetcher, que possui permissões de get em todo o namespace para secrets e configmaps. Como o token da conta de serviço era montado automaticamente e estava acessível em /var/run/secrets/kubernetes.io/serviceaccount/token, o código da função fornecido pelo usuário podia herdar esses privilégios. Isso permite que um invasor capaz de implantar ou atualizar uma função leia todos os segredos (como chaves TLS, segredos de cliente OIDC e credenciais de banco de dados) e configmaps no namespace da função, ignorando as restrições definidas em Function.spec.secrets.

Recommendations Atualizar para a versão 1.23.0. Restringir as permissões para criar ou atualizar as Custom Resource Definitions (CRDs) Function e Package. Reduzir o escopo da ClusterRole ou Role fission-fetcher, restringindo-a a segredos nomeados específicos por meio de vinculações de Role separadas. Implementar regras de egresso de NetworkPolicy para negar aos pods de função o acesso ao servidor de API do Kubernetes.