openshift-apiserver: SSRF devido à falta de validação de IP/Intervalo de Rede em Referências de Imagem Fornecidas pelo Usuário em github.com/openshift/openshift-apiserver

Um atacante explorando essa vulnerabilidade SSRF pode realizar requisições para qualquer recurso acessível pelo openshift-apiserver, mesmo que esses recursos não sejam acessíveis diretamente pela internet. Isso pode incluir acesso a serviços internos, bancos de dados, ou outros sistemas que o apiserver possa alcançar. O impacto potencial é a exposição de informações confidenciais, como credenciais de acesso, dados de usuários, ou informações de configuração. Além disso, um atacante pode usar a SSRF para realizar ataques de escalonamento de privilégios ou para explorar outras vulnerabilidades em sistemas internos. A ausência de validação adequada de endereços IP e intervalos de rede em referências de imagens fornecidas pelo usuário é a raiz do problema.

Organizations heavily reliant on OpenShift for container orchestration and application deployment are at significant risk. Specifically, deployments utilizing custom image registries or integrating with internal services accessible via image references are particularly vulnerable. Environments with limited network segmentation or inadequate firewall rules face a heightened risk of exploitation.

• linux / server:

journalctl -u kube-apiserver -g "image reference validation" | grep -i error

• go / supply-chain: Inspect the github.com/openshift/openshift-apiserver codebase for instances of image reference processing logic. Look for missing or inadequate IP/network range validation. • generic web: Monitor access logs for unusual outbound requests originating from the OpenShift Apiserver, particularly those involving internal IP addresses or unexpected domains.

1. 2026-03-10Disclosure

   disclosure

1. Reservado2025-12-10
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-14443 é a atualização para uma versão do OpenShift que inclua a correção. Verifique a documentação oficial do OpenShift para obter instruções detalhadas sobre como realizar a atualização. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como a configuração de regras de firewall para restringir o acesso ao openshift-apiserver apenas a fontes confiáveis. Além disso, revise e reforce as políticas de rede para garantir que o apiserver não tenha acesso a recursos desnecessários. Monitore os logs do apiserver em busca de atividades suspeitas, como requisições para endereços IP internos inesperados.