CVE-2016-3738
WysokieStreszczenie
Red Hat OpenShift Enterprise 3.2 nieprawidłowo ogranicza dostęp do budów STI, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do gniazda Dockera i uzyskanie uprawnień poprzez wektory związane z podami budowy.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do zasobów systemowych, co może prowadzić do eskalacji uprawnień i potencjalnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Red Hat OpenShift, która poprawia ograniczenia dostępu do budów STI oraz monitorowanie dostępu do gniazda Dockera.
Inne podatności w Red Hat OpenShift Enterprise 3.2
Zobacz wszystkie- CVE-2016-5409Wysokie
Red Hat OpenShift Enterprise 2 nie ustawia flagi HTTPOnly w nagłówku Set-Cookie dla ciasteczka GEARID, co ułatwia zdalnym atakującym uzyskanie potencjalnie wrażliwych informacji poprzez dostęp do ciasteczek za pomocą skryptów.
- CVE-2016-3708Wysokie
Red Hat OpenShift Enterprise 3.2 z włączonym wielo-tenantowym SDN pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do zasobów sieciowych w ograniczonych podach, gdy budowa jest uruchamiana w przestrzeni nazw, która normalnie byłaby izolowana od innych podów. Problem występuje w przypadku obrazów budujących zawierających polecenia ONBUILD lub brakujący binarny plik tar.
- CVE-2015-5222Wysokie
Red Hat OpenShift Enterprise 3.0.0.0 nieprawidłowo sprawdza uprawnienia, co pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do budowy na wykonywanie dowolnych poleceń powłoki z uprawnieniami roota na dowolnych podach budowy.
- CVE-2014-3674Wysokie
Red Hat OpenShift Enterprise w wersjach przed 2.2 nie ogranicza prawidłowo dostępu do 'gears', co pozwala zdalnym atakującym na dostęp do zasobów sieciowych dowolnych 'gears' za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Red Hat OpenShift Enterprise 3.2 does not properly restrict access to STI builds, which allows remote authenticated users to access the Docker socket and gain privileges via vectors related to build-pod.