Gerenciamento Inadequado de Privilégios no OpenShift Controller Manager

A exploração bem-sucedida desta vulnerabilidade permite que um atacante com acesso de desenvolvedor execute comandos arbitrários no nó do trabalhador do OpenShift. Isso pode levar à escalada de privilégios, comprometimento do sistema operacional subjacente e acesso não autorizado a dados confidenciais. O impacto potencial é severo, pois um atacante pode obter controle total sobre o nó, permitindo a instalação de malware, roubo de dados e interrupção de serviços. A vulnerabilidade se assemelha a cenários de escalada de privilégios em ambientes de contêiner onde processos privilegiados são executados com acesso excessivo aos recursos do host.

Organizations deploying OpenShift Container Platform, particularly those with developer access granted to external contributors or automated build pipelines, are at significant risk. Environments utilizing custom build configurations or integrating external repositories should be prioritized for remediation.

• linux / server:

journalctl -u openshift-controller-manager -g 'git-clone' | grep -i error

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*openshift*'} | Format-List TaskName, Actions

• generic web:

curl -I <openshift_build_endpoint>

1. 2024-09-17Disclosure

   disclosure

2. 2024-09-17Patch

   patch

1. Reservado2024-08-30
2. Publicada2024-09-17
3. Modificada2025-01-09
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar para a versão corrigida do OpenShift Container Platform (0.0.0-alpha.0.0.20240911 ou superior). Se a atualização imediata não for possível, considere restringir o acesso de desenvolvedor ao processo de construção. Implemente políticas de segurança que minimizem os privilégios concedidos aos contêineres de construção. Monitore logs de auditoria em busca de atividades suspeitas relacionadas ao processo de construção e à execução de comandos. Após a atualização, confirme a correção verificando a versão do OpenShift e realizando testes de penetração para garantir que a vulnerabilidade foi efetivamente mitigada.