- Yama var
- Son 7 gün
- CWE-94
- CWE-918
CVE-2026-62284
OSAC operatörü: kubeconfig eklentisiyle kod çalıştırma ve konsol proxy SSRF
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yetki sınırlarını aşan bir kullanıcının sistem içinde kontrol kazanmasına ve iç ağa erişmesine olanak tanıyabilir. Etkilenen kurulumlarda güvenlik güncellemesinin ve erişim denetimlerinin öncelikli olarak yapılması gerekir.
ÖzetTürkçe
OSAC operatörü, Kubernetes üzerinde çalışan bir operatördür. 8220502 revizyonunda konsol proxy bileşeni, Secret içindeki kubeconfig verisini temizlemeden işliyor; kubeconfig içindeki exec kimlik eklentisi, upstream bağlantısı için HTTP transport oluşturulurken çalıştırılıyor. Uzak ve otomatik VM küme modları etkilenirken, yalnızca local mod etkilenmiyor. Ayrıca clusters altındaki server adresi üzerinden proxy podundan sunucu taraflı istek sahteciliği (SSRF) yapılabiliyor; 7e4222b commit'i yalnızca kod çalıştırma yolunu düzeltiyor, SSRF yolunu kapatmıyor.
Saldırgan ne yapabilir?
Secret oluşturma veya değiştirme yetkisine sahip bir saldırgan, proxy podunda osac-console-proxy servis hesabı olarak keyfi bir süreç çalıştırabilir. Ayrıca proxy podu üzerinden iç ağdaki hedeflere istek gönderilebilir.
Kaynaktaki açıklama (İngilizce)
OSAC operator is a Kubernetes operator. In the affected revision identified as 8220502, the console-proxy RemoteConfigResolver parses Kubernetes Secret kubeconfig data with clientcmd.RESTConfigFromKubeConfig without sanitizing the resulting rest.Config. An attacker who can create or modify a Secret labeled osac.openshift.io/remote-cluster-kubeconfig: "true" in a namespace where the proxy's RoleBinding grants Secret read access can supply users[].user.exec. When rest.TransportFor builds the HTTP transport for an upstream WebSocket connection, client-go invokes that exec credential plugin, spawning an arbitrary process as the osac-console-proxy service account inside the pod. Attacker-controlled clusters[].server also enables server-side request forgery from the proxy pod. Remote and auto VM cluster modes are affected, with auto the default; exclusively local mode does not read kubeconfig Secrets and is unaffected. The credential-plugin execution path is patched in commit 7e4222b; that patch does not address the described server-address SSRF path.
Ne yapmalı?
- Yazılımı 7e4222b commit'ini içeren sürüme veya daha yeni bir sürüme güncelleyin. Bu düzeltme kod çalıştırma yolunu kapatır. Üretici
- Güncelleme sonrasında da SSRF riski devam ettiği için, satıcıdan server adresi yolunu kapatan ek bir düzeltme gelene kadar uzak küme modunu kullanmayı gözden geçirin. Bu kullanım gerekli değilse yalnızca local moda geçin. Genel öneri
- Kubeconfig taşıyan Secret'ları oluşturma ve değiştirme yetkilerini yalnızca güvenilir yöneticilerle sınırlayın. Genel öneri
- Konsol proxy servis hesabına tanımlı Secret okuma yetkisinin yalnızca gerekli namespace'lerle sınırlı olduğunu doğrulayın. Genel öneri
Ek önlemler
- Remote-cluster kubeconfig etiketine sahip Secret'lardaki oluşturma ve değiştirme olaylarını izleyin. Genel öneri
- Proxy podu için çıkış (egress) trafiğini yalnızca gerekli küme adreslerine izin verecek şekilde kısıtlayın. Genel öneri
- Kubeconfig içindeki server adreslerini ve exec tanımlarını düzenli olarak denetleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| osac-project osac-operator | < 7e4222b | 7e4222b |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.