CVE-2026-75939
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W narzędziu openshift/oc-mirror występuje błąd weryfikacji podpisów obrazów wydania PGP — narzędzie sprawdza błędy podpisu przed przetworzeniem całego podpisanego ciała, co pozwala obejść weryfikację podpisu. Zdalny atakujący, przechwytując lub manipulując ruchem sieciowym do punktu końcowego podpisów, może spreparować wiadomość PGP z prawidłowym identyfikatorem klucza wydania Red Hat, ale sfałszowanym podpisem, co pozwala narzędziu oc-mirror zaakceptować i zmirrorować złośliwy ładunek wydania do odłączonego rejestru.
Ocena ryzyka
Podatność może doprowadzić do kompromitacji integralności wdrożeń oprogramowania poprzez wprowadzenie złośliwego ładunku wydania do odłączonego rejestru. Może to skutkować uruchomieniem niezaufanego kodu w środowisku produkcyjnym.
Rekomendacja
Zaktualizuj oc-mirror do wersji zawierającej poprawkę weryfikacji podpisów PGP. Do czasu aktualizacji weryfikuj integralność mirrorowanych ładunków dodatkowymi, niezależnymi metodami.
Inne podatności w oc-mirror
Zobacz wszystkie- CVE-2026-96577Wysokie
W narzędziu oc-mirror podczas operacji mirrorowania wbudowany lokalny rejestr pamięci podręcznej wiąże się ze wszystkimi interfejsami sieciowymi bez uwierzytelniania i szyfrowania, zamiast ograniczać dostęp do lokalnego systemu. Nieuwierzytelniony atakujący z sąsiedniej sieci może połączyć się z odsłoniętą usługą, aby wypchnąć zmodyfikowane obrazy kontenerów, usunąć obrazy z pamięci podręcznej lub uzyskać dostęp do mirrorowanej zawartości.
- CVE-2026-101295Wysokie
Podatność na path traversal / dowolny zapis plików w ekstrakcji obrazów katalogów operatorów w oc-mirror. Podczas dublowania katalogów operatorów przy użyciu ścieżki v1 (--v1) lub ścieżki OCI (--use-oci-feature), oc-mirror wyodrębnia wpisy tar z warstw obrazów katalogów bez walidacji, czy ścieżki plików rozwiązują się w obrębie docelowego katalogu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in openshift/oc-mirror. The tool incorrectly verifies PGP (Pretty Good Privacy) release image signatures by checking for signature errors before the entire signed body is processed, leading to a bypass of the signature verification. A remote attacker, by intercepting or manipulating network traffic to the signature endpoint, could exploit this to craft a PGP message with a valid Red Hat release key ID but a forged signature. This enables the `oc-mirror` tool to accept and mirror a malicious release payload into a disconnected registry, potentially compromising the integrity of software deployments.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS