Mala Gestión de Privilegios en OpenShift Controller Manager

La vulnerabilidad permite a un atacante con acceso de desarrollador a OpenShift Container Platform ejecutar comandos arbitrarios en el nodo de trabajo. Esto significa que un atacante podría obtener control total sobre el nodo, comprometiendo la confidencialidad, integridad y disponibilidad de los datos almacenados y procesados en ese nodo. El impacto potencial es significativo, ya que un atacante podría escalar privilegios, acceder a información sensible, instalar malware o incluso utilizar el nodo comprometido como punto de apoyo para atacar otros sistemas dentro de la red. Esta vulnerabilidad se asemeja a escenarios de escalada de privilegios donde un usuario con acceso limitado puede obtener control administrativo sobre un sistema.

Organizations deploying OpenShift Container Platform, particularly those with developer access granted to external contributors or automated build pipelines, are at significant risk. Environments utilizing custom build configurations or integrating external repositories should be prioritized for remediation.

• linux / server:

journalctl -u openshift-controller-manager -g 'git-clone' | grep -i error

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*openshift*'} | Format-List TaskName, Actions

• generic web:

curl -I <openshift_build_endpoint>

1. 2024-09-17Disclosure

   disclosure

2. 2024-09-17Patch

   patch

1. Reservado2024-08-30
2. Publicada2024-09-17
3. Modificada2025-01-09
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar OpenShift Container Platform a la versión 0.0.0-alpha.0.0.20240911 o posterior. Si la actualización inmediata no es posible, se recomienda restringir el acceso de desarrollador al clúster OpenShift. Implementar controles de seguridad más estrictos en el proceso de construcción, como la validación de la configuración de Git, puede ayudar a reducir el riesgo. Monitorear los registros del sistema en busca de actividades sospechosas relacionadas con el proceso de construcción también es crucial. Después de la actualización, confirme la mitigación revisando los registros del sistema y verificando que el proceso de construcción se ejecute sin errores.