Fission の Environment CRD に権限昇格脆弱性、クラスタ全体を掌握可能

要約

Fission の Environment Custom Resource Definition (CRD) に PodSpec インジェクション脆弱性が存在し、テナント権限ユーザが kubectl patch で危険なフィールド (hostPID / hostIPC / hostNetwork / hostPath) を挿入可能だ。MergePodSpec が検証なしにこれらを生成 Pod に伝播させるため、特権コンテナとしてホストルートマウントを持つ Pod がスケジュール可能になる。攻撃者はそこからクラスタ CA 秘密鍵を読み取り、kubelet 証明書に署名して全クラスタを掌握できる。Environment の create/update 権限が node escape および完全なクラスタ乗っ取りに昇格する。