CVE-2026-96577
WysokieCVSS 7.1Streszczenie
W narzędziu oc-mirror podczas operacji mirrorowania wbudowany lokalny rejestr pamięci podręcznej wiąże się ze wszystkimi interfejsami sieciowymi bez uwierzytelniania i szyfrowania, zamiast ograniczać dostęp do lokalnego systemu. Nieuwierzytelniony atakujący z sąsiedniej sieci może połączyć się z odsłoniętą usługą, aby wypchnąć zmodyfikowane obrazy kontenerów, usunąć obrazy z pamięci podręcznej lub uzyskać dostęp do mirrorowanej zawartości.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności obrazów kontenerów, utratę danych lub nieautoryzowany dostęp do mirrorowanej zawartości, co może prowadzić do ataków na środowiska produkcyjne.
Rekomendacja
Zaleca się skonfigurowanie oc-mirror tak, aby lokalny rejestr był dostępny tylko z lokalnego systemu, oraz włączenie uwierzytelniania i szyfrowania dla rejestru.
Inne podatności w oc-mirror
Zobacz wszystkie- CVE-2026-101295Wysokie
Podatność na path traversal / dowolny zapis plików w ekstrakcji obrazów katalogów operatorów w oc-mirror. Podczas dublowania katalogów operatorów przy użyciu ścieżki v1 (--v1) lub ścieżki OCI (--use-oci-feature), oc-mirror wyodrębnia wpisy tar z warstw obrazów katalogów bez walidacji, czy ścieżki plików rozwiązują się w obrębie docelowego katalogu.
- CVE-2026-75939Wysokie
W narzędziu openshift/oc-mirror występuje błąd weryfikacji podpisów obrazów wydania PGP — narzędzie sprawdza błędy podpisu przed przetworzeniem całego podpisanego ciała, co pozwala obejść weryfikację podpisu. Zdalny atakujący, przechwytując lub manipulując ruchem sieciowym do punktu końcowego podpisów, może spreparować wiadomość PGP z prawidłowym identyfikatorem klucza wydania Red Hat, ale sfałszowanym podpisem, co pozwala narzędziu oc-mirror zaakceptować i zmirrorować złośliwy ładunek wydania do odłączonego rejestru.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in oc-mirror. During mirroring operations, the embedded local cache registry binds to all network interfaces without authentication or encryption instead of restricting access to the local system. An unauthenticated attacker on an adjacent network can connect to the exposed service to push tampered container images, delete cached images, or access mirrored content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS