CVE-2016-5409
WysokieStreszczenie
Red Hat OpenShift Enterprise 2 nie ustawia flagi HTTPOnly w nagłówku Set-Cookie dla ciasteczka GEARID, co ułatwia zdalnym atakującym uzyskanie potencjalnie wrażliwych informacji poprzez dostęp do ciasteczek za pomocą skryptów.
Ocena ryzyka
Brak flagi HTTPOnly zwiększa ryzyko kradzieży ciasteczek przez atakujących, co może prowadzić do ujawnienia wrażliwych danych użytkowników.
Rekomendacja
Zaleca się aktualizację do nowszej wersji OpenShift, która poprawia zarządzanie ciasteczkami, w tym dodaje flagę HTTPOnly dla ciasteczka GEARID.
Inne podatności w Red Hat OpenShift Enterprise 2
Zobacz wszystkie- CVE-2016-3738Wysokie
Red Hat OpenShift Enterprise 3.2 nieprawidłowo ogranicza dostęp do budów STI, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do gniazda Dockera i uzyskanie uprawnień poprzez wektory związane z podami budowy.
- CVE-2016-3708Wysokie
Red Hat OpenShift Enterprise 3.2 z włączonym wielo-tenantowym SDN pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do zasobów sieciowych w ograniczonych podach, gdy budowa jest uruchamiana w przestrzeni nazw, która normalnie byłaby izolowana od innych podów. Problem występuje w przypadku obrazów budujących zawierających polecenia ONBUILD lub brakujący binarny plik tar.
- CVE-2015-5222Wysokie
Red Hat OpenShift Enterprise 3.0.0.0 nieprawidłowo sprawdza uprawnienia, co pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do budowy na wykonywanie dowolnych poleceń powłoki z uprawnieniami roota na dowolnych podach budowy.
- CVE-2014-3674Wysokie
Red Hat OpenShift Enterprise w wersjach przed 2.2 nie ogranicza prawidłowo dostępu do 'gears', co pozwala zdalnym atakującym na dostęp do zasobów sieciowych dowolnych 'gears' za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Red Hat OpenShift Enterprise 2 does not include the HTTPOnly flag in a Set-Cookie header for the GEARID cookie, which makes it easier for remote attackers to obtain potentially sensitive information via script access to the cookies.