CVE-2026-50568
NiskieCVSS 3.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 — wyżej niż 2% wszystkich znanych CVE
Streszczenie
Fission to framework serverless, który działa w Kubernetes, miał lukę w walidacji ścieżek przed wersją 1.25.0. Funkcja SanitizeFilePath nie sprawdzała poprawnie granic katalogów, co pozwalało na dostęp do niebezpiecznych katalogów.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do danych, jeśli użytkownicy mogą kontrolować sąsiednie katalogi w wspólnym wolumenie. Może to prowadzić do wycieku danych lub nieautoryzowanego zapisu.
Rekomendacja
Zaleca się aktualizację Fission do wersji 1.25.0 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto przeprowadzić audyt uprawnień do katalogów w środowisku Kubernetes.
Oryginalny opis (angielski, źródło NVD)
Fission is an open-source, Kubernetes-native serverless framework that simplifies the deployment of functions and applications on Kubernetes. Prior to version 1.25.0, SanitizeFilePath in pkg/utils/utils.go validated that a path stayed under a safe directory by calling strings.HasPrefix(path, safedir). This is a lexical check, not a directory boundary check: /packages-extra/evil starts with /packages, so it passed. The function did not enforce a path-separator boundary, so any sibling directory whose name began with the safe-directory string was accepted. Callers included the builder's Clean handler (pkg/builder/builder.go:208) and the fetcher's Fetch / Upload handlers (pkg/fetcher/fetcher.go). A tenant who could pre-create or control a sibling directory under the fetcher / builder's shared volume could induce a write or read outside the intended safe directory. This issue has been patched in version 1.25.0.