Platform
linux
Component
openshift-update-service
Opgelost in
1.10.0
2.5.4
CVE-2025-57854 describes a privilege escalation vulnerability discovered in Red Hat OpenShift Update Service (OSUS) images. This flaw allows attackers with command execution capabilities within a container to potentially gain root privileges by manipulating the /etc/passwd file. The vulnerability impacts versions 1.0.0 through 2.5.3 of OSUS, and a fix is available in version 2.5.4.
Een container privilege-escalatie kwetsbaarheid is geïdentificeerd in bepaalde OpenShift Update Service (OSUS) images. Dit probleem komt doordat het bestand /etc/passwd met groeps-schrijfrechten wordt aangemaakt tijdens het bouwproces van de image. Onder bepaalde omstandigheden kan een aanvaller die commando's kan uitvoeren binnen een getroffen container, zelfs als een niet-root gebruiker, zijn lidmaatschap van de 'root' groep gebruiken om het /etc/passwd bestand te wijzigen. Dit kan de aanvaller in staat stellen een nieuwe gebruiker toe te voegen met een willekeurige UID, inclusief UID 0 (root), wat leidt tot privilege-escalatie en volledige containercontrole.
Het exploiteren van deze kwetsbaarheid vereist dat een aanvaller in staat is om commando's uit te voeren binnen een getroffen container. Hoewel de aanvaller aanvankelijk geen root hoeft te zijn, maakt de kwetsbaarheid de creatie van een root gebruiker mogelijk. De complexiteit van de exploitatie hangt af van de containerconfiguratie en de beveiligingsbeleidsregels die van kracht zijn. Het aanwezig zijn van bestandmanipulatietools binnen de container kan de exploitatie vergemakkelijken. Een gebrek aan restricties op de uitvoering van commando's verhoogt ook het risico.
Organizations utilizing Red Hat OpenShift Update Service in production environments, particularly those running versions 1.0.0 through 2.5.3, are at risk. Environments with less stringent container security policies or those relying on default configurations are especially vulnerable. Shared hosting environments using OSUS also face increased risk due to the potential for cross-container contamination.
• linux / server:
journalctl -u osus -g 'passwd modification'• linux / server:
find / -perm -g+w -name 'passwd' 2>/dev/null• linux / server:
ps aux | grep -i passwddisclosure
Exploit Status
EPSS
0.00% (0% percentiel)
CISA SSVC
CVSS-vector
Red Hat raadt aan om zo snel mogelijk te upgraden naar versie 2.5.4 of hoger van OpenShift Update Service (OSUS). Deze versie bevat een correctie die de groeps-schrijfrechten op het /etc/passwd bestand tijdens het image-bouwproces verwijdert, waardoor de kwetsbaarheid wordt verholpen. Tijdens het aanbrengen van de update wordt aanbevolen om de container-beveiligingsbeleidsregels te controleren om ervoor te zorgen dat het principe van minimale privileges wordt toegepast en dat de gebruikersrechten binnen containers worden beperkt. Het monitoren van systeemlogboeken op verdachte activiteiten is ook cruciaal om potentiële exploitatiepogingen te detecteren.
Actualice a la versión 2.5.4 o posterior de Red Hat OpenShift Update Service. Esta versión corrige el problema al asegurar que el archivo /etc/passwd se cree con permisos adecuados, evitando la modificación no autorizada por usuarios con privilegios de grupo root.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Alle versies van OSUS vóór 2.5.4 zijn kwetsbaar voor deze kwetsbaarheid.
Controleer de versie van OSUS die u gebruikt. Als deze vóór 2.5.4 ligt, bent u getroffen.
Implementeer mitigerende maatregelen zoals het beperken van gebruikersrechten en het monitoren van logboeken.
Momenteel is er geen tijdelijke patch beschikbaar. Het upgraden naar versie 2.5.4 of hoger is de aanbevolen oplossing.
De succesvolle exploitatie van deze kwetsbaarheid kan een aanvaller in staat stellen root-toegang tot een container te verkrijgen, wat de beveiliging van het cluster mogelijk in gevaar brengt.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.