注目★★★★★GitHub Advisory
Nuclio に重大脆弱性、cron トリガーの入力値が shell コマンドに直接注入される RCE (CVSS 9.9)
30秒で把握
- 1Nuclio cron トリガーの headers/body が未サニタイズで shell に混入・認証なし RCE 可能
- 2CVSS 9.9 (Critical) / 最新版 1.15.27 を含む全バージョン対象 / 修正版未リリース
- 3CronJob コマンド実行環境への外部アクセス遮断と代替実行基盤の検討が急務
要約
Nuclio <= 1.15.27 で、cron トリガーの event.headers キーと event.body が CronJob シェルコマンドに不十分なサニタイズで混入され、認証なし RCE が可能になる。headers のダブルクォート含有で引用符文脈が破壊される他、body の $() コマンド置換が実行される。CVSS 9.9 (Critical) で修正は未提供・1.15.27 が最新版のため全バージョン対応が必要。
あなたへの影響
Nuclio を本番の cron ジョブ実行に使用するチームは、直ちに当該環境への外部トリガーアクセス制限 (NetworkPolicy / ファイアウォール) を施行し、修正版リリースの動向を監視した上で upgrade を計画してください。
推奨：Kubernetes API 経由で cron スケジュール定義を書き換える権限を持つ攻撃者は、クラスタ内で任意のコマンド実行が可能になります。