CVE-2014-3674
WysokieStreszczenie
Red Hat OpenShift Enterprise w wersjach przed 2.2 nie ogranicza prawidłowo dostępu do 'gears', co pozwala zdalnym atakującym na dostęp do zasobów sieciowych dowolnych 'gears' za pomocą nieokreślonych wektorów.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych zasobów sieciowych, co może prowadzić do naruszenia bezpieczeństwa danych i usług.
Rekomendacja
Zaleca się aktualizację Red Hat OpenShift Enterprise do wersji 2.2 lub nowszej, aby usunąć tę podatność.
Inne podatności w Red Hat OpenShift Enterprise
Zobacz wszystkie- CVE-2016-5409Wysokie
Red Hat OpenShift Enterprise 2 nie ustawia flagi HTTPOnly w nagłówku Set-Cookie dla ciasteczka GEARID, co ułatwia zdalnym atakującym uzyskanie potencjalnie wrażliwych informacji poprzez dostęp do ciasteczek za pomocą skryptów.
- CVE-2016-3738Wysokie
Red Hat OpenShift Enterprise 3.2 nieprawidłowo ogranicza dostęp do budów STI, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do gniazda Dockera i uzyskanie uprawnień poprzez wektory związane z podami budowy.
- CVE-2016-3708Wysokie
Red Hat OpenShift Enterprise 3.2 z włączonym wielo-tenantowym SDN pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do zasobów sieciowych w ograniczonych podach, gdy budowa jest uruchamiana w przestrzeni nazw, która normalnie byłaby izolowana od innych podów. Problem występuje w przypadku obrazów budujących zawierających polecenia ONBUILD lub brakujący binarny plik tar.
- CVE-2015-5222Wysokie
Red Hat OpenShift Enterprise 3.0.0.0 nieprawidłowo sprawdza uprawnienia, co pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do budowy na wykonywanie dowolnych poleceń powłoki z uprawnieniami roota na dowolnych podach budowy.
Oryginalny opis (angielski, źródło NVD)
Red Hat OpenShift Enterprise before 2.2 does not properly restrict access to gears, which allows remote attackers to access the network resources of arbitrary gears via unspecified vectors.