CVE-2026-80219
WysokieCVSS 8.7Streszczenie
W hawtio-operator podczas wdrażania Hawtio w trybie klastrowym tworzony jest OAuthClient o zasięgu klastrowym z automatycznym zatwierdzaniem (GrantMethod: auto) i bez klucza klienta. URI przekierowań pochodzą z trasy utworzonej przez operatora, której nazwa hosta jest kontrolowana przez dzierżawcę. Złośliwy dzierżawca może zarejestrować dowolną nazwę hosta jako prawidłowy cel przekierowania OAuth i uzyskać tokeny dostępu OpenShift dowolnego użytkownika klastra, który odwiedzi spreparowany URL autoryzacyjny.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do tokenów OpenShift użytkowników klastra, co może prowadzić do przejęcia kont i eskalacji uprawnień w klastrze.
Rekomendacja
Zaleca się zmianę konfiguracji OAuthClient na wymagającą zgody użytkownika (np. GrantMethod: prompt) oraz ograniczenie możliwości ustawiania pola routeHostName przez dzierżawców.
Inne podatności w hawtio-operator
Zobacz wszystkie- CVE-2026-77968Wysokie
W hawtio-operator ClusterRole przyznaje uprawnienia secrets: [create, get, list, update, watch] we wszystkich przestrzeniach nazw. Mimo że operator używa cache z selektorem etykiet jako optymalizacji pamięci, token ServiceAccount autoryzuje dostęp do odczytu wszystkich sekretów w klastrze. Operator omija cache poprzez bezpośrednie wywołania API. Kompromitacja poda operatora umożliwiłaby odczyt wszystkich sekretów w klastrze, w tym tokenów bootstrap, poświadczeń chmurowych i sekretów innych operatorów.
- CVE-2026-78234Krytyczne
W hawtio-operator znaleziono błąd: operator odczytuje prywatny klucz podpisujący Service CA z przestrzeni nazw openshift-service-ca i używa go do tworzenia certyfikatów klienckich z CN dostarczonym przez autora zasobu Hawtio. Operator dostarcza ClusterRole, która agreguje uprawnienia do zasobów Hawtio do ról edit i admin, więc każdy użytkownik z prawem edycji w dowolnej przestrzeni nazw może uzyskać certyfikat podpisany przez Service CA z dowolnym podmiotem. Certyfikat może być użyty do podszywania się pod dowolną tożsamość usługi w klastrze dla elementów ufających Service CA, w tym agentów Jolokia.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in hawtio-operator. When deploying Hawtio in cluster mode, the operator creates a cluster-scoped OAuthClient with automatic grant approval (GrantMethod: auto) and no client secret (public client). The redirect URIs are derived from the operator-created Route, whose hostname is tenant-controlled via the Hawtio CR spec.routeHostName field. A malicious tenant can register an arbitrary hostname as a valid OAuth redirect target and, because grants are auto-approved, obtain OpenShift access tokens of any cluster user who visits the crafted authorization URL without any consent prompt.