Red Hat (OpenShift/RHEV) Seite 3

In Keycloak besteht laut Quelldaten ein Fehler in der Validierungslogik der redirect_uri, der eine Umgehung ansonsten explizit erlaubter Hosts ermöglichen kann. Ein erfolgreicher Angriff kann zum Diebstahl eines Access Tokens führen, wodurch ein Angreifer andere Benutzer imitieren kann. CVSS-Basiswert: 7.1 (Hoch).

In Keycloak besteht eine Schwachstelle durch unbegrenzten Speicherverbrauch (Unconstrained Memory Consumption). Sie tritt in Umgebungen mit Millionen Offline-Tokens auf, etwa bei mehr als 500'000 Nutzern mit jeweils mindestens zwei gespeicherten Sitzungen. Erstellt ein Angreifer zwei oder mehr Nutzersitzungen und öffnet anschliessend den Consents-Tab der Admin-Benutzeroberfläche, versucht die Oberfläche eine sehr grosse Zahl an Offline-Client-Sitzungen zu laden, was zu übermässigem Speicher- und CPU-Verbrauch führt und im schlimmsten Fall das gesamte System zum Absturz bringen kann. CVSS-Basiswert: 7.7 (Hoch).

Im Node-Restriction-Admission-Plugin des Kubernetes-API-Servers von OpenShift besteht eine Schwachstelle zur Rechteausweitung. Ein entfernter Angreifer, der das Node-Role-Label eines Knotens verändert, kann dadurch Workloads gezielt von Control-Plane- und etcd-Knoten auf andere Worker-Knoten lenken und sich so breiteren Zugriff auf den Cluster verschaffen. CVSS-Basiswert: 7.2 (Hoch).

In Open vSwitch wurde laut NVD eine Schwachstelle gefunden, durch die ICMPv6-Neighbor-Advertisement-Pakete zwischen virtuellen Maschinen die OpenFlow-Regeln umgehen können. Ein lokaler Angreifer kann dadurch speziell präparierte Pakete mit einem veränderten oder gefälschten Ziel-IP-Adressfeld erstellen, die ICMPv6-Verkehr auf beliebige IP-Adressen umleiten. CVSS-Basiswert: 7.1 (Hoch).

In Red Hat OpenShift Data Science besteht eine Schwachstelle im Elyra-Notebook-Pipeline-Editor. Beim Export einer Pipeline als Python DSL oder YAML werden S3-Zugangsdaten aus dem Cluster (DS Pipeline Server) gelesen und im Klartext in der erzeugten Ausgabedatei gespeichert, anstatt auf eine Kubernetes-Secret-ID zu verweisen. CVSS-Basiswert: 7.7 (Hoch).

In Undertow können mit @MultipartConfig annotierte Servlets bei grossen Multipart-Inhalten einen OutOfMemoryError verursachen. Dies kann nicht autorisierten Nutzern einen entfernten Denial-of-Service-Angriff ermöglichen. Nutzt der Server fileSizeThreshold zur Begrenzung der Dateigrösse, lässt sich diese Grenze umgehen, indem der Dateiname in der Anfrage auf null gesetzt wird. CVSS-Basiswert: 7.5 (Hoch).

In cri-o wurde eine Schwachstelle gefunden, die es laut Quelle erlaubt, über eine speziell präparierte Umgebungsvariable beliebige Zeilen in /etc/passwd einzufügen. CVSS-Basiswert: 7.8 (Hoch).

Im kube-apiserver wurde eine Authentication-Bypass-Schwachstelle entdeckt. Ein entfernter, authentifizierter Angreifer, dem über die Standardrechte hinaus die Berechtigungen „update, patch“ auf die Subressource pods/ephemeralcontainers eingeräumt wurden, kann anschliessend einen neuen Pod erstellen oder einen bereits zugänglichen Pod patchen. Damit lassen sich unter Umständen SCC-Admission-Beschränkungen umgehen und die Kontrolle über einen privilegierten Pod erlangen. CVSS-Basiswert: 8 (Hoch).

In den Container-Images von Red Hat Single Sign-On für OpenShift, die mit einem ungesicherten, aktivierten Management-Interface konfiguriert sind, wurde eine Schwachstelle gefunden. Sie erlaubt einem Angreifer, über diese Schnittstelle boesartigen Code einzuspielen sowie potenziell sensible Informationen in der App-Server-Konfiguration einzusehen und zu verändern. CVSS-Basiswert: 8.0 (Hoch).

Im Kubernetes-Dienst für Notebooks in Red Hat OpenShift Data Science (RHODS) wird nicht verhindert, dass Pods aus anderen Namespaces und Anwendungen Anfragen an die Jupyter-API stellen. Dies kann zur Offenlegung von Dateiinhalten und weiteren Problemen führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Verfügbare Red-Hat-Updates einspielen.

In der Webserver-Bibliothek Undertow führt ein unerwarteter Handshake-Status im SslConduit dazu, dass eine Schleife nicht terminiert, wodurch ein Angreifer einen Denial of Service auslösen kann. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Die Verwaltungsschnittstelle des Akamai Client (vormals Red Swoosh) 3322 und früher erlaubt Angreifern aus der Ferne, die Authentifizierung über eine HTTP-Anfrage ohne Referer-Header oder mit gefälschtem, zu einer zugelassenen Domain passendem Referer-Header zu umgehen. Dies ermöglicht Cross-Site-Request-Forgery-Angriffe (CSRF) und zwingt den Client, beliebige Dateien herunterzuladen und auszuführen. CVSS-Basiswert: 7.1 (Hoch). Betroffen sind Akamai sowie Keycloak und Red Hat (OpenShift/RHEV, RHSA), soweit der Client dort integriert eingesetzt wird.

In ABB Arctic ARG600/ARC600/ARR600/ARP600 Wireless Gateway und OpenSSH wurde eine Sicherheitslücke (CVE-2024-6387, regreSSHion) gemeldet. Laut ABB PSIRT sind 4 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2018-1002105) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.0 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit HTTP/2 DoS-Angriffen gemeldet (Synology-SA-19:33 HTTP/2 DoS Attacks). Ausnutzungswahrscheinlichkeit (EPSS): 59.5 %.

Im Rahmen der Synology-SA-19:33 wurden HTTP/2 Denial-of-Service-Angriffe in nginx und Synology-Produkten gemeldet. CVE-2019-9516 betrifft einen Angriff über 0-Length-Headers im HTTP/2-Protokoll. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2019-9517) gemeldet. Betroffen ist eine Reihe weiterer Hersteller und Distributionen, darunter Ubuntu, Debian, Synology, Fedora, SUSE/openSUSE, Red Hat, NetApp, Node.js und Oracle. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-11253) gemeldet; das Kubernetes-Projekt führt die betroffene Komponente in seinem Security-Advisory. Zusätzlich ist Red Hat (OpenShift/RHEV) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 25.9 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-1002101) gemeldet, die im offiziellen CVE-Feed des Projekts geführt wird. Eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 10.6 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-1002100) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 10.4 %.

In OpenSSH besteht bei aktivierter Option VerifyHostKeyDNS eine Schwachstelle, die einen Machine-in-the-Middle-Angriff durch einen bösartigen Server ermöglicht, der sich als legitimer Server ausgibt. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 7.6 %. Empfohlene Massnahme: die bereitgestellten OpenSSH-Updates einspielen.

In Keycloak wurde eine Fehlkonfiguration festgestellt: Ist eine 'Valid Redirect URI' auf http://localhost oder http://127.0.0.1 gesetzt, kann ein Angreifer Nutzer auf eine beliebige, von ihm kontrollierte URL umleiten. Dies ermöglicht Phishing- oder weitere Folgeangriffe über eine an sich vertrauenswürdig wirkende Keycloak-Instanz. Betroffen sind Keycloak sowie Red Hat OpenShift/RHEV als weiterer gemeldeter Produktbezug. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

In der libssh-Bibliothek in Versionen vor 0.11.2 wurde eine Schwachstelle gefunden. Durch eine fehlerhafte Vergleichsprüfung in der Funktion sftp_handle kann ein Out-of-bounds-Read ausgelöst werden, wodurch Speicher ausserhalb der gültigen Handle-Liste gelesen und ein ungültiger Zeiger zurückgegeben wird. Ein authentifizierter entfernter Angreifer kann so potenziell unbeabsichtigte Speicherbereiche auslesen und vertrauliche Informationen offenlegen oder das Dienstverhalten beeinflussen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %. Empfohlene Massnahme: auf libssh 0.11.2 oder neuer aktualisieren.

Im vfs_worm-Modul von Samba wurde ein Fehler gefunden. Das Modul soll durch Write-Once-Read-Many-Schutz (WORM) die Änderung von Dateien nach einer konfigurierbaren Schonfrist verhindern. Aufgrund der Schwachstelle greift dieser Schutz laut Quelle nicht wie vorgesehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In GLib wurde eine Schwachstelle in der Funktion escape_byte_string() der GIO-Komponente entdeckt. Ein Integer-Overflow kann zu einem Heap-Buffer-Overflow und einem Denial-of-Service führen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In GnuTLS wurde eine Schwachstelle identifiziert, die auf einer fehlerhaften Gross-/Kleinschreibungsprüfung bei der Validierung von nameConstraints-Labels beruht. Betroffen sind insbesondere DNS-Namen (dNSName) und E-Mail-Adressen (rfc822Name). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In dnsmasq wurde ein Heap-basierter Buffer-Overflow gefunden. Wenn DNSSEC-Validierung und Query-Logging beide aktiviert sind, kann das Protokollieren von DS- oder DNSKEY-Antworten mit nicht unterstützten Algorithmus- oder Digest-Typen den Überlauf auslösen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In guardrails-detectors, einer Komponente von Red Hat OpenShift AI, wurde eine Schwachstelle für einen Regular-Expression-Denial-of-Service (ReDoS) gefunden. Ein entfernter Angreifer kann durch speziell präparierte Eingaben einen Denial of Service auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In mirror-registry können authentifizierte Benutzer die Log-Export-Funktion missbrauchen, indem sie eine speziell präparierte URL übergeben, was dem Backend ermöglicht, beliebige Netzwerkanfragen auszuführen (SSRF). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In libsolv wurde ein stack-basierter Buffer-Overflow im Debian-Metadaten-Parser gefunden, der beim Verarbeiten speziell präparierter Debian-Repository-Metadaten ausgelöst werden kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Red Hat Quays Proxy-Cache-Konfigurationsfunktion wird beim Einrichten eines Upstream-Registrys eine Netzwerkverbindung zur angegebenen Adresse hergestellt, was zu einem unbeabsichtigten Informationsabfluss führen kann. CVSS-Basiswert: 5.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

goshs ist ein Single-Binary-Dateiserver für Red-Teaming und Entwicklung. Vor Version 2.1.5 öffnet der sendFile-Handler in httpserver/handler.go Dateien über einen bereinigten Pfad, leitet die Autorisierungsprüfung laut Quelle jedoch anders ab; der weitere Beschreibungstext ist an dieser Stelle abgeschnitten und daher nicht belegbar. CVSS-Basiswert: 5.3 (Mittel).

In libsolv wurde eine Heap-Buffer-Overflow-Schwachstelle gefunden, die beim Verarbeiten speziell präparierter .solv-Dateien mit negativen Grössen-Werten in der Funktion repo_add_solv auftritt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im OpenSSH-Client wurde eine Double-Free-Schwachstelle gefunden: Ein bösartiger SSH-Server kann sie im Diffie-Hellman-Group-Exchange-Client-Pfad (DH-GEX) während des FIPS-Modus auslösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der OpenShift Mirror Registry wurde eine Schwachstelle gefunden, die es einem nicht authentifizierten, entfernten Angreifer erlaubt, gültige Benutzernamen und E-Mail-Adressen zu ermitteln. Möglich wird dies durch unterschiedliche Fehlermeldungen während der Authentifizierung. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die bereitgestellten Hersteller-Aktualisierungen einspielen.

In der Funktion für die repository-weite Mirror-Konfiguration von Red Hat Quay wurde eine Schwachstelle gefunden. Die POST- und PUT-Handler in endpoints/api/mirror.py übernehmen den Parameter external_reference ohne SSRF-Validierung, wodurch serverseitige Anfragen an interne Ziele ausgelöst werden können (Server-Side Request Forgery). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und wirkt sich mit geändertem Geltungsbereich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.8 (Mittel).

Der CVE-Eintrag wurde nach erneuter Prüfung durch das Keycloak-Projekt und Red Hat zurückgewiesen (DO NOT USE THIS CANDIDATE NUMBER). Die ursprünglich gemeldete SSRF über Client-Registrierungs- bzw. Backchannel-Notification-URIs wurde dabei nicht als Schwachstelle bestätigt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Red Hat OpenShift AI Service gewährt die TrustyAI-Komponente allen Service-Accounts und Benutzern eines Clusters die Berechtigung, beliebige Pods in jedem Namespace des Clusters zu lesen, aufzulisten und zu beobachten (get, list, watch). Dadurch können unberechtigte Akteure Informationen über Pods im gesamten Cluster einsehen. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

goshs ist ein Single-Binary-Dateiserver für Red Teamer und Entwickler. Vor Version 2.1.5 zerlegte der Multipart-Upload-Handler (httpserver/updown.go) den Dateinamen aus part.FileName() zwar am Zeichen /, wies Pfadanteile mit .. aber nicht zurück. Dadurch können hochgeladene Dateien ausserhalb des vorgesehenen Zielverzeichnisses abgelegt werden. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Update auf Version 2.1.5 oder neuer.

Im OpenShift Cluster Logging Operator wurde ein Fehler durch fehlende Autorisierung gefunden: Der Operator erstellt und leitet ServiceAccount-Tokens an Ausgabeziele weiter, ohne zu prüfen, ob die betreffende ClusterLogForwarder-Konfiguration dazu autorisiert ist. Die Kennung wird zusätzlich im Zusammenhang mit dem Keycloak-Projekt (Red Hat/CNCF) geführt. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Notification-Webhook-Funktion von Red Hat Quay akzeptieren die Slack- und die generischen Webhook-Handler benutzerdefinierte URLs ohne SSRF-Validierung. Dadurch kann ein Repository-Administrator serverseitige Anfragen (Server-Side Request Forgery) auslösen. CVSS-Basiswert: 5.5 (Mittel).

In libcap wurde eine TOCTOU-Race-Condition (Time-of-check-to-time-of-use) in der Funktion cap_set_file() entdeckt. Ein lokaler unprivilegierter Benutzer mit Schreibrechten kann diese Schwachstelle ausnutzen. CVSS-Basiswert: 6.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Katello, einer Komponente von Red Hat Satellite, ermöglichen unzureichende Autorisierungsprüfungen im ContentUploadsController Benutzern mit der Berechtigung edit_products einen nicht vorgesehenen Zugriff auf die Content-Upload-Funktionalität. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine fehlerhafte Implementierung in der Skia-Komponente von Google Chrome (vor Version 148.0.7778.216) erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Red Hat führt die Schwachstelle für das Paket chromium-browser. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Red Hat CSAF/VEX sind 0 Produkte betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).

In der WebRTC-Komponente von Chromium besteht ein Out-of-bounds-Read, über den ein entfernter Angreifer mittels einer präparierten HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Red-Hat-CSAF-Quelle: 0 Produkt(e) betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Media-Komponente von Google Chrome auf ChromeOS (vor Version 148.0.7778.216) erlaubte einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hatte, potenziell sensible Informationen zu erlangen. Red Hat führt die Lücke im Paket chromium-browser. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Red Hat CSAF: 0 Produkt(e) betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).

In bestimmten Multi-Cloud-Object-Gateway-Core-Images wurde eine Container-Rechteausweitung gefunden. Ursache ist die Datei /etc/passwd, die beim Build mit gruppen-schreibbaren Berechtigungen angelegt wurde. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf ein von Red Hat bereitgestelltes, korrigiertes Image aktualisieren.

Im Netzwerk-Annotation-Generator von KubeVirt wird der von einem Mandanten beim Anlegen einer VirtualMachineInstance mit Multus-Netzwerkkonfiguration angegebene networkName-Wert unverändert übernommen. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, fehlerbereinigte Version aktualisieren.

Im Port-Forward-Handler von KubeVirts virt-api besteht eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Bei der Verarbeitung einer Port-Forward-Anfrage an eine VirtualMachineInstance (VMI) liest virt-api die Ziel-IP-Adresse aus, wodurch Anfragen umgeleitet werden können. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Die von Red Hat bereitgestellten Updates einspielen.