Red Hat (OpenShift/RHEV) Seite 3

IBM App Connect Enterprise Certified Container in den Versionen 11.4 bis 12.3 könnte einem entfernten authentifizierten Angreifer erlauben, über eine speziell gestaltete Anfrage beliebige Befehle auf dem System auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In OpenShift AI lassen sich Modelle innerhalb desselben Namespace über eine Authentifizierungsumgehung mit Rechteausweitung angreifen. Anmeldedaten eines geschützten Modells können genutzt werden, um auf andere Modelle und APIs im selben Namespace zuzugreifen; die in der UI sichtbaren ServiceAccount-Tokens erlauben über oc --token unautorisierten Zugriff auf weitere Ressourcen. CVSS-Basiswert: 8.8 (Hoch).

In Podman kann ein speziell präpariertes Container-Image ausgenutzt werden, wenn dieses so konfiguriert ist, dass es sich den IPC-Namespace mit mindestens einem weiteren Container teilt. Der bösartige Container erzeugt dabei eine grosse Zahl an IPC-Ressourcen in /dev/shm, bis das System den Container wegen Speichererschöpfung (OOM) beendet. Die erzeugten IPC-Ressourcen bleiben jedoch bestehen, solange ein weiterer, gutartiger Container denselben IPC-Namespace offenhält. Wird der bösartige Container automatisch neu gestartet, etwa über `podman run --restart=always`, wiederholt sich der Vorgang und der Speicherverbrauch steigt kontinuierlich an, bis ein Denial of Service des gesamten Systems eintritt. CVSS-Basiswert: 7.7 (Hoch).

Im Telemeter-Dienst von OpenShift wurde laut NVD ein Fehler gefunden: Unter bestimmten Bedingungen kann ein Angreifer mit einem gefälschten Token die Issuer-Prüfung („iss“) bei der JWT-Authentifizierung umgehen. CVSS-Basiswert: 7.5 (Hoch).

In der Dekomprimierungsfunktion von registry-support besteht eine Schwachstelle, die ausgelöst werden kann, wenn ein nicht authentifizierter Angreifer einen Benutzer dazu bringt, ein Devfile mit den Schlüsselwörtern parent oder plugin zu verarbeiten. Dadurch kann ein bösartiges Archiv heruntergeladen werden, dessen Aufräumprozess Dateien ausserhalb des Archivs überschreibt oder löscht. CVSS-Basiswert: 8.0 (Hoch).

Im Node-Restriction-Admission-Plugin des Kubernetes-API-Servers von OpenShift besteht eine Schwachstelle zur Rechteausweitung. Ein entfernter Angreifer, der das Node-Role-Label eines Knotens verändert, kann dadurch Workloads gezielt von Control-Plane- und etcd-Knoten auf andere Worker-Knoten lenken und sich so breiteren Zugriff auf den Cluster verschaffen. CVSS-Basiswert: 7.2 (Hoch).

In Open vSwitch wurde laut NVD eine Schwachstelle gefunden, durch die ICMPv6-Neighbor-Advertisement-Pakete zwischen virtuellen Maschinen die OpenFlow-Regeln umgehen können. Ein lokaler Angreifer kann dadurch speziell präparierte Pakete mit einem veränderten oder gefälschten Ziel-IP-Adressfeld erstellen, die ICMPv6-Verkehr auf beliebige IP-Adressen umleiten. CVSS-Basiswert: 7.1 (Hoch).

In Red Hat OpenShift Data Science besteht eine Schwachstelle im Elyra-Notebook-Pipeline-Editor. Beim Export einer Pipeline als Python DSL oder YAML werden S3-Zugangsdaten aus dem Cluster (DS Pipeline Server) gelesen und im Klartext in der erzeugten Ausgabedatei gespeichert, anstatt auf eine Kubernetes-Secret-ID zu verweisen. CVSS-Basiswert: 7.7 (Hoch).

In Undertow können mit @MultipartConfig annotierte Servlets bei grossen Multipart-Inhalten einen OutOfMemoryError verursachen. Dies kann nicht autorisierten Nutzern einen entfernten Denial-of-Service-Angriff ermöglichen. Nutzt der Server fileSizeThreshold zur Begrenzung der Dateigrösse, lässt sich diese Grenze umgehen, indem der Dateiname in der Anfrage auf null gesetzt wird. CVSS-Basiswert: 7.5 (Hoch).

In cri-o wurde eine Schwachstelle gefunden, die es laut Quelle erlaubt, über eine speziell präparierte Umgebungsvariable beliebige Zeilen in /etc/passwd einzufügen. CVSS-Basiswert: 7.8 (Hoch).

Im kube-apiserver wurde eine Authentication-Bypass-Schwachstelle entdeckt. Ein entfernter, authentifizierter Angreifer, dem über die Standardrechte hinaus die Berechtigungen „update, patch“ auf die Subressource pods/ephemeralcontainers eingeräumt wurden, kann anschliessend einen neuen Pod erstellen oder einen bereits zugänglichen Pod patchen. Damit lassen sich unter Umständen SCC-Admission-Beschränkungen umgehen und die Kontrolle über einen privilegierten Pod erlangen. CVSS-Basiswert: 8 (Hoch).

In den Container-Images von Red Hat Single Sign-On für OpenShift, die mit einem ungesicherten, aktivierten Management-Interface konfiguriert sind, wurde eine Schwachstelle gefunden. Sie erlaubt einem Angreifer, über diese Schnittstelle boesartigen Code einzuspielen sowie potenziell sensible Informationen in der App-Server-Konfiguration einzusehen und zu verändern. CVSS-Basiswert: 8.0 (Hoch).

Im Kubernetes-Dienst für Notebooks in Red Hat OpenShift Data Science (RHODS) wird nicht verhindert, dass Pods aus anderen Namespaces und Anwendungen Anfragen an die Jupyter-API stellen. Dies kann zur Offenlegung von Dateiinhalten und weiteren Problemen führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Verfügbare Red-Hat-Updates einspielen.

In der Webserver-Bibliothek Undertow führt ein unerwarteter Handshake-Status im SslConduit dazu, dass eine Schleife nicht terminiert, wodurch ein Angreifer einen Denial of Service auslösen kann. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Die Verwaltungsschnittstelle des Akamai Client (vormals Red Swoosh) 3322 und früher erlaubt Angreifern aus der Ferne, die Authentifizierung über eine HTTP-Anfrage ohne Referer-Header oder mit gefälschtem, zu einer zugelassenen Domain passendem Referer-Header zu umgehen. Dies ermöglicht Cross-Site-Request-Forgery-Angriffe (CSRF) und zwingt den Client, beliebige Dateien herunterzuladen und auszuführen. CVSS-Basiswert: 7.1 (Hoch). Betroffen sind Akamai sowie Keycloak und Red Hat (OpenShift/RHEV, RHSA), soweit der Client dort integriert eingesetzt wird.

In ABB Arctic ARG600/ARC600/ARR600/ARP600 Wireless Gateway und OpenSSH wurde eine Sicherheitslücke (CVE-2024-6387, regreSSHion) gemeldet. Laut ABB PSIRT sind 4 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2018-1002105) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.0 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit HTTP/2 DoS-Angriffen gemeldet (Synology-SA-19:33 HTTP/2 DoS Attacks). Ausnutzungswahrscheinlichkeit (EPSS): 59.5 %.

Im Rahmen der Synology-SA-19:33 wurden HTTP/2 Denial-of-Service-Angriffe in nginx und Synology-Produkten gemeldet. CVE-2019-9516 betrifft einen Angriff über 0-Length-Headers im HTTP/2-Protokoll. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2019-9517) gemeldet. Betroffen ist eine Reihe weiterer Hersteller und Distributionen, darunter Ubuntu, Debian, Synology, Fedora, SUSE/openSUSE, Red Hat, NetApp, Node.js und Oracle. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-11253) gemeldet; das Kubernetes-Projekt führt die betroffene Komponente in seinem Security-Advisory. Zusätzlich ist Red Hat (OpenShift/RHEV) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 25.9 %.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-1002101) gemeldet, die im offiziellen CVE-Feed des Projekts geführt wird. Eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 12.8 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Für Kubernetes wurde eine Sicherheitslücke (CVE-2019-1002100) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 10.7 %.

In OpenSSH besteht bei aktivierter Option VerifyHostKeyDNS eine Schwachstelle, die einen Machine-in-the-Middle-Angriff durch einen bösartigen Server ermöglicht, der sich als legitimer Server ausgibt. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 7.7 %. Empfohlene Massnahme: die bereitgestellten OpenSSH-Updates einspielen.

In Keycloak wurde eine Fehlkonfiguration festgestellt: Ist eine 'Valid Redirect URI' auf http://localhost oder http://127.0.0.1 gesetzt, kann ein Angreifer Nutzer auf eine beliebige, von ihm kontrollierte URL umleiten. Dies ermöglicht Phishing- oder weitere Folgeangriffe über eine an sich vertrauenswürdig wirkende Keycloak-Instanz. Betroffen sind Keycloak sowie Red Hat OpenShift/RHEV als weiterer gemeldeter Produktbezug. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

In der libssh-Bibliothek in Versionen vor 0.11.2 wurde eine Schwachstelle gefunden. Durch eine fehlerhafte Vergleichsprüfung in der Funktion sftp_handle kann ein Out-of-bounds-Read ausgelöst werden, wodurch Speicher ausserhalb der gültigen Handle-Liste gelesen und ein ungültiger Zeiger zurückgegeben wird. Ein authentifizierter entfernter Angreifer kann so potenziell unbeabsichtigte Speicherbereiche auslesen und vertrauliche Informationen offenlegen oder das Dienstverhalten beeinflussen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %. Empfohlene Massnahme: auf libssh 0.11.2 oder neuer aktualisieren.

Im vfs_worm-Modul von Samba wurde ein Fehler gefunden. Das Modul soll durch Write-Once-Read-Many-Schutz (WORM) die Änderung von Dateien nach einer konfigurierbaren Schonfrist verhindern. Aufgrund der Schwachstelle greift dieser Schutz laut Quelle nicht wie vorgesehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In GnuTLS wurde eine Schwachstelle identifiziert, die auf einer fehlerhaften Gross-/Kleinschreibungsprüfung bei der Validierung von nameConstraints-Labels beruht. Betroffen sind insbesondere DNS-Namen (dNSName) und E-Mail-Adressen (rfc822Name). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

In GLib wurde eine Schwachstelle in der Funktion escape_byte_string() der GIO-Komponente entdeckt. Ein Integer-Overflow kann zu einem Heap-Buffer-Overflow und einem Denial-of-Service führen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In dnsmasq wurde ein Heap-basierter Buffer-Overflow gefunden. Wenn DNSSEC-Validierung und Query-Logging beide aktiviert sind, kann das Protokollieren von DS- oder DNSKEY-Antworten mit nicht unterstützten Algorithmus- oder Digest-Typen den Überlauf auslösen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der Funktion für die repository-weite Mirror-Konfiguration von Red Hat Quay wurde eine Schwachstelle gefunden. Die POST- und PUT-Handler in endpoints/api/mirror.py übernehmen den Parameter external_reference ohne SSRF-Validierung, wodurch serverseitige Anfragen an interne Ziele ausgelöst werden können (Server-Side Request Forgery). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hohen Rechten und ohne Nutzerinteraktion ausnutzbar und wirkt sich mit geändertem Geltungsbereich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.8 (Mittel).

In guardrails-detectors, einer Komponente von Red Hat OpenShift AI, wurde eine Schwachstelle für einen Regular-Expression-Denial-of-Service (ReDoS) gefunden. Ein entfernter Angreifer kann durch speziell präparierte Eingaben einen Denial of Service auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In libsolv wurde ein stack-basierter Buffer-Overflow im Debian-Metadaten-Parser gefunden, der beim Verarbeiten speziell präparierter Debian-Repository-Metadaten ausgelöst werden kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In mirror-registry können authentifizierte Benutzer die Log-Export-Funktion missbrauchen, indem sie eine speziell präparierte URL übergeben, was dem Backend ermöglicht, beliebige Netzwerkanfragen auszuführen (SSRF). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Red Hat Quays Proxy-Cache-Konfigurationsfunktion wird beim Einrichten eines Upstream-Registrys eine Netzwerkverbindung zur angegebenen Adresse hergestellt, was zu einem unbeabsichtigten Informationsabfluss führen kann. CVSS-Basiswert: 5.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In libsolv wurde eine Heap-Buffer-Overflow-Schwachstelle gefunden, die beim Verarbeiten speziell präparierter .solv-Dateien mit negativen Grössen-Werten in der Funktion repo_add_solv auftritt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

goshs ist ein Single-Binary-Dateiserver für Red-Teaming und Entwicklung. Vor Version 2.1.5 öffnet der sendFile-Handler in httpserver/handler.go Dateien über einen bereinigten Pfad, leitet die Autorisierungsprüfung laut Quelle jedoch anders ab; der weitere Beschreibungstext ist an dieser Stelle abgeschnitten und daher nicht belegbar. CVSS-Basiswert: 5.3 (Mittel).

Im OpenSSH-Client wurde eine Double-Free-Schwachstelle gefunden: Ein bösartiger SSH-Server kann sie im Diffie-Hellman-Group-Exchange-Client-Pfad (DH-GEX) während des FIPS-Modus auslösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der WebRTC-Komponente von Chromium besteht ein Out-of-bounds-Read, über den ein entfernter Angreifer mittels einer präparierten HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut Red-Hat-CSAF-Quelle: 0 Produkt(e) betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).

In der OpenShift Mirror Registry wurde eine Schwachstelle gefunden, die es einem nicht authentifizierten, entfernten Angreifer erlaubt, gültige Benutzernamen und E-Mail-Adressen zu ermitteln. Möglich wird dies durch unterschiedliche Fehlermeldungen während der Authentifizierung. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die bereitgestellten Hersteller-Aktualisierungen einspielen.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Media-Komponente von Google Chrome auf ChromeOS (vor Version 148.0.7778.216) erlaubte einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hatte, potenziell sensible Informationen zu erlangen. Red Hat führt die Lücke im Paket chromium-browser. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut Red Hat CSAF: 0 Produkt(e) betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).

Der CVE-Eintrag wurde nach erneuter Prüfung durch das Keycloak-Projekt und Red Hat zurückgewiesen (DO NOT USE THIS CANDIDATE NUMBER). Die ursprünglich gemeldete SSRF über Client-Registrierungs- bzw. Backchannel-Notification-URIs wurde dabei nicht als Schwachstelle bestätigt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Red Hat OpenShift AI Service gewährt die TrustyAI-Komponente allen Service-Accounts und Benutzern eines Clusters die Berechtigung, beliebige Pods in jedem Namespace des Clusters zu lesen, aufzulisten und zu beobachten (get, list, watch). Dadurch können unberechtigte Akteure Informationen über Pods im gesamten Cluster einsehen. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

goshs ist ein Single-Binary-Dateiserver für Red Teamer und Entwickler. Vor Version 2.1.5 zerlegte der Multipart-Upload-Handler (httpserver/updown.go) den Dateinamen aus part.FileName() zwar am Zeichen /, wies Pfadanteile mit .. aber nicht zurück. Dadurch können hochgeladene Dateien ausserhalb des vorgesehenen Zielverzeichnisses abgelegt werden. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Update auf Version 2.1.5 oder neuer.

Im OpenShift Cluster Logging Operator wurde ein Fehler durch fehlende Autorisierung gefunden: Der Operator erstellt und leitet ServiceAccount-Tokens an Ausgabeziele weiter, ohne zu prüfen, ob die betreffende ClusterLogForwarder-Konfiguration dazu autorisiert ist. Die Kennung wird zusätzlich im Zusammenhang mit dem Keycloak-Projekt (Red Hat/CNCF) geführt. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der OptimizationGuide-Komponente von Google Chrome (vor Version 148.0.7778.216) ermöglicht es einem Angreifer, der den Renderer-Prozess kompromittiert hat, UI-Spoofing aus der Ferne durchzuführen. Die Schwachstelle wird auch im Chromium-Browser im Rahmen einer Red-Hat-CSAF-Meldung adressiert. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut VEX-Status: 0 Produkt(e) betroffen, 1 nachweislich nicht betroffen.

In der Notification-Webhook-Funktion von Red Hat Quay akzeptieren die Slack- und die generischen Webhook-Handler benutzerdefinierte URLs ohne SSRF-Validierung. Dadurch kann ein Repository-Administrator serverseitige Anfragen (Server-Side Request Forgery) auslösen. CVSS-Basiswert: 5.5 (Mittel).

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Input-Komponente von Google Chrome (vor Version 148.0.7778.216) erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, die Site-Isolation zu umgehen. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Red-Hat-CSAF (chromium-browser) sind 0 Produkte betroffen, 0 mit Fix; 1 Produkt gilt als nicht betroffen.

Eine fehlerhafte Implementierung in der Skia-Komponente von Google Chrome (vor Version 148.0.7778.216) erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Red Hat führt die Schwachstelle für das Paket chromium-browser. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Red Hat CSAF/VEX sind 0 Produkte betroffen, 0 mit Fix (1 als nicht betroffen eingestuft).