OpenShift Controller Manager 权限管理不当

该漏洞的影响极其严重，攻击者无需特殊权限，仅需开发者级别的访问权限即可利用。攻击者可以创建一个恶意的 .gitconfig 文件，该文件中的命令将在克隆过程中执行，从而在工作节点上获得任意代码执行权限。这可能导致攻击者完全控制受影响的节点，窃取敏感数据、安装恶意软件，甚至进行横向移动攻击，影响整个 OpenShift 集群的安全。该漏洞的潜在影响范围非常广阔，类似于某些供应链攻击模式，可能导致大规模的安全事件。

Organizations deploying OpenShift Container Platform, particularly those with developer access granted to external contributors or automated build pipelines, are at significant risk. Environments utilizing custom build configurations or integrating external repositories should be prioritized for remediation.

• linux / server:

journalctl -u openshift-controller-manager -g 'git-clone' | grep -i error

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*openshift*'} | Format-List TaskName, Actions

• generic web:

curl -I <openshift_build_endpoint>

1. 2024-09-17Disclosure

   disclosure

2. 2024-09-17Patch

   patch

1. 已保留2024-08-30
2. 发布日期2024-09-17
3. 修改日期2025-01-09
4. EPSS 更新日期2026-04-02

为了缓解该漏洞，最有效的措施是立即升级到 0.0.0-alpha.0.0.20240911 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 git-clone 容器的权限，确保其无法访问敏感资源；审查 .gitconfig 文件的来源，防止恶意配置；实施严格的访问控制策略，限制开发者对构建过程的访问权限。升级后，请验证新版本是否已成功部署，并确认漏洞已得到修复。