CVE-2026-81320
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W hawtio-operator wykryto usterkę: gdy skonfigurowano niestandardowy sekret TLS dla Route, a operator działa na poziomie debugowania 1 lub wyższym, cały obiekt Route — w tym prywatny klucz TLS w formacie PEM — jest serializowany do JSON i zapisywany na standardowym wyjściu operatora. Logi operatora są zazwyczaj przekazywane do centralnych systemów logowania i czytelne dla każdego z dostępem do pods/log w przestrzeni nazw openshift-operators. Poziom debugowania 1 jest niskim progiem często włączanym podczas rozwiązywania problemów.
Ocena ryzyka
Prywatny klucz TLS może wyciec do logów, co umożliwia jego przechwycenie przez osoby z dostępem do logów i potencjalne podszycie się pod usługę. Ryzyko jest wysokie, ponieważ poziom debugowania 1 jest często używany.
Rekomendacja
Zaktualizuj hawtio-operator do wersji, która nie loguje prywatnych kluczy. Ogranicz dostęp do logów operatora i unikaj włączania debugowania na poziomie 1 lub wyższym w środowisku produkcyjnym.
Inne podatności w hawtio-operator
Zobacz wszystkie- CVE-2026-78234Krytyczne
W hawtio-operator znaleziono błąd: operator odczytuje prywatny klucz podpisujący Service CA z przestrzeni nazw openshift-service-ca i używa go do tworzenia certyfikatów klienckich z CN dostarczonym przez autora zasobu Hawtio. Operator dostarcza ClusterRole, która agreguje uprawnienia do zasobów Hawtio do ról edit i admin, więc każdy użytkownik z prawem edycji w dowolnej przestrzeni nazw może uzyskać certyfikat podpisany przez Service CA z dowolnym podmiotem. Certyfikat może być użyty do podszywania się pod dowolną tożsamość usługi w klastrze dla elementów ufających Service CA, w tym agentów Jolokia.
- CVE-2026-81303Średnie
W hawtio-operator wykryto usterkę: operator posiada uprawnienie routes/custom-host:create w całym klastrze i zapisuje wartość spec.routeHostName dostarczoną przez dzierżawcę z zasobu Hawtio bezpośrednio do specyfikacji Route bez walidacji lub kontroli autoryzacji. Użytkownik z uprawnieniami edycji przestrzeni nazw, który normalnie nie może ustawiać niestandardowych nazw hostów Route, może użyć operatora jako confused deputy do przejęcia dowolnych zewnętrznie routowalnych nazw hostów, co umożliwia przejęcie subdomeny, a w połączeniu z automatycznie przyznawanym OAuthClient — przejęcie przekierowania OAuth.
- CVE-2026-77968Wysokie
W hawtio-operator ClusterRole przyznaje uprawnienia secrets: [create, get, list, update, watch] we wszystkich przestrzeniach nazw. Mimo że operator używa cache z selektorem etykiet jako optymalizacji pamięci, token ServiceAccount autoryzuje dostęp do odczytu wszystkich sekretów w klastrze. Operator omija cache poprzez bezpośrednie wywołania API. Kompromitacja poda operatora umożliwiłaby odczyt wszystkich sekretów w klastrze, w tym tokenów bootstrap, poświadczeń chmurowych i sekretów innych operatorów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in hawtio-operator. When a custom Route TLS secret is configured and the operator runs at debug log level 1 or higher, the entire Route object — including the TLS private key in PEM format — is serialized to JSON and written to the operator's standard output. Operator logs are typically forwarded to centralized logging systems and readable by anyone with pods/log access in the openshift-operators namespace. Debug level 1 is a low threshold commonly enabled during troubleshooting.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS