CVE-2026-46618

Nome do Software Vulnerável e Versões Afetadas Fission versões anteriores a 1.23.0

Descrição Em pkg/builder/builder.go, o software passa a variável Environment.spec.builder.command diretamente para a função exec.Command() após uma divisão por strings.Fields, sem validar o caminho do executável ou seus argumentos. Um usuário com privilégios para criar ou atualizar as Definições de Recursos Personalizados (CRDs) de Environment em um namespace observado pelo buildermgr pode direcionar o pod do construtor para qualquer executável dentro da imagem do construtor, como /bin/sh -c '...', resultando na execução de código arbitrário no contexto do pod do construtor. Isso permite que o invasor leia arquivos no volume compartilhado /packages ou escreva conteúdo arbitrário nele, que é posteriormente carregado como o arquivo de implantação do pacote. O impacto é limitado ao namespace do usuário e ao sistema de arquivos do pod do construtor, pois este opera com a ServiceAccount fission-builder.

Recomendações Atualize para a versão 1.23.0. Restrinja a capacidade de criar ou atualizar CRDs de Environment apenas a operadores confiáveis. Audite os valores de Environment.spec.builder.command em busca de quaisquer caminhos que não sejam /build. Execute o buildermgr com uma ServiceAccount restrita que não possua acesso a segredos no namespace do construtor.