注目★★★★★GitHub Advisory
Fission コンテナ実行機能に権限昇格、ノード脱出の脆弱性（CVSS 9.8）
30秒で把握
- 1Fission Container Executor の PodSpec 検証不足 + マージ処理で privilege/namespace 設定が無条件許可
- 2関数作成権限のみで Deployment 作成権限と同等の効果が得られ、ノード脱出が可能に
- 3本番運用チームは修正版への即座の更新と、関数デプロイ権限の再評価が必要
要約
Fission の Container Executor に PodSpec インジェクション脆弱性が存在し、関数作成権限のみを持つテナントがノード脱出を実行できる。検証ロジックが podspec の内容を確認せず、マージ処理が `hostPID`、`hostNetwork`、`hostIPC`、ホストパスボリューム、特権コンテナ設定を無条件に許可したため、攻撃者は Deployment 作成権限を持たずにホストファイルシステムをマウントして host namespace に共有できる。関数開発者が一般的に保有する `functions.fission.io/create` だけで権限昇格が成立し、環境作成権限を要求する同種脆弱性より攻撃閾値が低い。即座にパッチ適用が必須。
あなたへの影響
Fission を本番運用するチームは該当バージョンの確認と修正版への更新を即日実施すべき。
推奨：ホスト namespace アクセスやルートファイルシステムマウント可能になれば、クラスタ内の他テナント環境やノード自体の侵害に直結するため、権限管理と関数デプロイメントの審査ルール見直しも同時に検討する。