CVE-2016-3708
WysokieStreszczenie
Red Hat OpenShift Enterprise 3.2 z włączonym wielo-tenantowym SDN pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do zasobów sieciowych w ograniczonych podach, gdy budowa jest uruchamiana w przestrzeni nazw, która normalnie byłaby izolowana od innych podów. Problem występuje w przypadku obrazów budujących zawierających polecenia ONBUILD lub brakujący binarny plik tar.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych zasobów sieciowych, co może prowadzić do naruszenia danych i innych zagrożeń bezpieczeństwa.
Rekomendacja
Zaleca się przegląd i ograniczenie użycia obrazów budujących zawierających polecenia ONBUILD oraz zapewnienie, że obrazy zawierają niezbędne binaria, takie jak tar, aby zminimalizować ryzyko.
Inne podatności w Red Hat OpenShift Enterprise 3.2
Zobacz wszystkie- CVE-2016-5409Wysokie
Red Hat OpenShift Enterprise 2 nie ustawia flagi HTTPOnly w nagłówku Set-Cookie dla ciasteczka GEARID, co ułatwia zdalnym atakującym uzyskanie potencjalnie wrażliwych informacji poprzez dostęp do ciasteczek za pomocą skryptów.
- CVE-2016-3738Wysokie
Red Hat OpenShift Enterprise 3.2 nieprawidłowo ogranicza dostęp do budów STI, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do gniazda Dockera i uzyskanie uprawnień poprzez wektory związane z podami budowy.
- CVE-2015-5222Wysokie
Red Hat OpenShift Enterprise 3.0.0.0 nieprawidłowo sprawdza uprawnienia, co pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do budowy na wykonywanie dowolnych poleceń powłoki z uprawnieniami roota na dowolnych podach budowy.
- CVE-2014-3674Wysokie
Red Hat OpenShift Enterprise w wersjach przed 2.2 nie ogranicza prawidłowo dostępu do 'gears', co pozwala zdalnym atakującym na dostęp do zasobów sieciowych dowolnych 'gears' za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Red Hat OpenShift Enterprise 3.2, when multi-tenant SDN is enabled and a build is run in a namespace that would normally be isolated from pods in other namespaces, allows remote authenticated users to access network resources on restricted pods via an s2i build with a builder image that (1) contains ONBUILD commands or (2) does not contain a tar binary.