Gestion incorrecte des privilèges dans OpenShift Controller Manager

L'impact de cette vulnérabilité est extrêmement élevé. Un attaquant disposant d'un accès de développeur peut injecter une configuration .gitconfig malveillante. Cette configuration, exécutée lors de la phase de clonage de Git, permet à l'attaquant d'exécuter des commandes arbitraires sur le nœud worker. Cela peut conduire à la compromission complète du nœud, permettant l'accès aux données sensibles, l'installation de logiciels malveillants, et potentiellement, une propagation latérale vers d'autres systèmes au sein du cluster OpenShift. La nature privilégiée du conteneur amplifie considérablement le risque, car elle contourne les mécanismes de sécurité standard.

Organizations deploying OpenShift Container Platform, particularly those with developer access granted to external contributors or automated build pipelines, are at significant risk. Environments utilizing custom build configurations or integrating external repositories should be prioritized for remediation.

• linux / server:

journalctl -u openshift-controller-manager -g 'git-clone' | grep -i error

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*openshift*'} | Format-List TaskName, Actions

• generic web:

curl -I <openshift_build_endpoint>

1. 2024-09-17Disclosure

   disclosure

2. 2024-09-17Patch

   patch

1. Réservé2024-08-30
2. Publiée2024-09-17
3. Modifiée2025-01-09
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour OpenShift Container Platform vers la version 0.0.0-alpha.0.0.20240911 ou ultérieure. En attendant la mise à jour, il est fortement recommandé de restreindre l'accès au processus de construction aux utilisateurs de confiance. Si la mise à jour est problématique, envisagez de revenir à une version précédente stable et d'appliquer des mesures de sécurité renforcées, telles que la surveillance accrue des activités du conteneur git-clone. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance attentive des commandes exécutées pendant le processus de construction est essentielle.