OpenShift Controller Manager Onjuist Beheer van Privileges

Deze kwetsbaarheid stelt een aanvaller in staat om de beveiliging van de worker node in een OpenShift-cluster te compromitteren. Door een kwaadaardig .gitconfig bestand te injecteren tijdens het buildproces, kan de aanvaller willekeurige commando's uitvoeren met de privileges van de build container. Dit kan leiden tot volledige controle over de node, inclusief het stelen van gevoelige data, het installeren van malware, en het verplaatsen van lateraal binnen het cluster. De impact is vergelijkbaar met scenario's waarin een aanvaller toegang krijgt tot root-rechten op een server, waardoor de gehele infrastructuur in gevaar komt.

Organizations deploying OpenShift Container Platform, particularly those with developer access granted to external contributors or automated build pipelines, are at significant risk. Environments utilizing custom build configurations or integrating external repositories should be prioritized for remediation.

• linux / server:

journalctl -u openshift-controller-manager -g 'git-clone' | grep -i error

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*openshift*'} | Format-List TaskName, Actions

• generic web:

curl -I <openshift_build_endpoint>

1. 2024-09-17Disclosure

   disclosure

2. 2024-09-17Patch

   patch

1. Gereserveerd2024-08-30
2. Gepubliceerd2024-09-17
3. Gewijzigd2025-01-09
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar OpenShift Container Platform versie 0.0.0-alpha.0.0.20240911 of hoger. Indien een directe upgrade niet mogelijk is, beperk dan de toegang tot de build omgeving en controleer de .gitconfig bestanden zorgvuldig op verdachte inhoud. Implementeer een WAF (Web Application Firewall) die pogingen tot het injecteren van kwaadaardige configuratiebestanden kan detecteren en blokkeren. Controleer de build logs op onverwachte commando's of processen die worden uitgevoerd tijdens het buildproces.