CVE-2026-78234
KrytyczneCVSS 9.9Streszczenie
W hawtio-operator znaleziono błąd: operator odczytuje prywatny klucz podpisujący Service CA z przestrzeni nazw openshift-service-ca i używa go do tworzenia certyfikatów klienckich z CN dostarczonym przez autora zasobu Hawtio. Operator dostarcza ClusterRole, która agreguje uprawnienia do zasobów Hawtio do ról edit i admin, więc każdy użytkownik z prawem edycji w dowolnej przestrzeni nazw może uzyskać certyfikat podpisany przez Service CA z dowolnym podmiotem. Certyfikat może być użyty do podszywania się pod dowolną tożsamość usługi w klastrze dla elementów ufających Service CA, w tym agentów Jolokia.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami może podszyć się pod dowolną usługę w klastrze, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub przejęcia kontroli nad komponentami.
Rekomendacja
Zaktualizuj hawtio-operator do wersji zawierającej poprawkę i ogranicz dostęp do zasobów Hawtio oraz ról edit/admin.
Inne podatności w hawtio-operator
Zobacz wszystkie- CVE-2026-80219Wysokie
W hawtio-operator podczas wdrażania Hawtio w trybie klastrowym tworzony jest OAuthClient o zasięgu klastrowym z automatycznym zatwierdzaniem (GrantMethod: auto) i bez klucza klienta. URI przekierowań pochodzą z trasy utworzonej przez operatora, której nazwa hosta jest kontrolowana przez dzierżawcę. Złośliwy dzierżawca może zarejestrować dowolną nazwę hosta jako prawidłowy cel przekierowania OAuth i uzyskać tokeny dostępu OpenShift dowolnego użytkownika klastra, który odwiedzi spreparowany URL autoryzacyjny.
- CVE-2026-77968Wysokie
W hawtio-operator ClusterRole przyznaje uprawnienia secrets: [create, get, list, update, watch] we wszystkich przestrzeniach nazw. Mimo że operator używa cache z selektorem etykiet jako optymalizacji pamięci, token ServiceAccount autoryzuje dostęp do odczytu wszystkich sekretów w klastrze. Operator omija cache poprzez bezpośrednie wywołania API. Kompromitacja poda operatora umożliwiłaby odczyt wszystkich sekretów w klastrze, w tym tokenów bootstrap, poświadczeń chmurowych i sekretów innych operatorów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in hawtio-operator. The operator reads the OpenShift Service CA private signing key from the openshift-service-ca namespace and uses it to mint client certificates with a Subject Common Name (CN) supplied by the author of a namespaced Hawtio custom resource. Because the operator ships a ClusterRole that aggregates Hawtio CR permissions into the edit and admin roles, any user with edit access in any namespace can obtain a Service-CA-signed certificate with an arbitrary subject. This certificate can be used to impersonate any in-cluster service identity to peers that trust the Service CA for client authentication, including Jolokia agents and other Service-CA-trusting components.