Haavoittuvuus21/2024CVSS 9.9CVE-2024-45496, CVE-2024-7387 (Ulkoinen linkki)
Red Hat OpenShiftistä on löydetty kaksi kriittistä haavoittuvuutta. Haavoittuvuudet mahdollistavat mielivaltaisen koodin suorittamisen ja OpenShiftiä suorittavien noodien kaappaamisen. Haavoittuvuuksia vastaan on olemassa rajoituskeinot, jotka on syytä suorittaa viipymättä.
Haavoittuvuuden kohde
Red Hat OpenShift Container Platform 4, seuraavat komponentit:
CVE-2024-45496 (CVSS 9.9): ose-openshift-controller-manager-container
CVE-2024-7387 (CVSS 9.1): openshift4/ose-docker-builder
Kyseessä on valtaosin organisaatiokäytössä oleva ohjelmisto. Haavoittuvuus koskee käyttäjiä, jotka käyttävät kyseisen tuotteen haavoittuvia komponentteja.
Mistä on kysymys?
CVE-2024-45496 (ose-openshift-controller-manager-container)
Mahdollistaa mielivaltaisen koodin suorittamisen OpenShift-noodilla ja noodin kaappaamisen johtuen korotettujen oikeuksien käytön puutteellisista rajoituksista. Hyökkäys vaatii kehittäjätason (developer) käyttöoikeuden.
CVE-2024-7387 (openshift4/ose-docker-builder)
Mahdollistaa komentojen mielivaltaisen suorittamisen OpenShift-noodilla, minkä avulla hyökkääjä voi mahdollisesti laajentaa käyttövaltuuksiaan ja kaapata konttia suorittavan noodin.
Mitä voin tehdä?
Tätä haavoittuvuustiedotetta kirjoitettaessa haavoittuvuuksiin on olemassa rajoituskeinot, mutta ei korjaavia päivityksiä. Seuraa valmistajan ohjeita rajoituskeinojen toteuttamisessa.