- Son 7 gün
- CWE-918
CVE-2026-17557
Red Hat OpenShift AI lm-evaluation-harness bileşeninde SSRF ve kimlik bilgisi sızıntısı açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- redhat
ÖzetTürkçe
Red Hat OpenShift AI içindeki lm-evaluation-harness bileşeninde bir hata tespit edildi. Değerlendirme işi gönderebilen kimliği doğrulanmış bir kullanıcı, JobSpec içinde kötü niyetli bir model URL'si vererek bu hatayı istismar edebilir. Açık, kiracının model kimlik doğrulama sırrının saldırgan kontrolündeki harici bir dinleyiciye ifşa edilmesine izin veriyor. Ayrıca, değerlendirme işi pod'undan erişilebilen dahili ağ uç noktalarına karşı Sunucu Taraflı İstek Sahteciliği (SSRF) saldırılarını mümkün kılıyor.
Kaynaktaki açıklama (İngilizce)
A flaw was found in the lm-evaluation-harness component of Red Hat OpenShift AI. An authenticated user, able to submit an evaluation job, could exploit this by providing a malicious model URL in the JobSpec. This vulnerability allows for the disclosure of the tenant's model authentication secret to an attacker-controlled external listener. Additionally, it enables Server-Side Request Forgery (SSRF) attacks against internal network endpoints reachable from the evaluation job pod.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Red Hat OpenShift AI (RHOAI) | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.