高 7.4

openshift-ansibleのインストーラーに改ざんされたスクリプトを実行される脆弱性

CVE-2026-92092 SecPulse初出 10月30日 4:51

概要

openshift-ansibleのインストーラーコンテナーは、インベントリや動的スクリプトを取得する際に整合性を確認しません。通信経路での中間者攻撃や配信サーバーの侵害により任意の実行ファイルを差し替えられると、インストーラーの権限で任意のコードを実行され、クラスター構築に関わる強い権限が悪用されるおそれがあります。CVSSは7.4で、悪用の情報は公表されていません。修正版の有無は確認できていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in openshift-ansible. The installer container's run script downloads and executes remote inventory and dynamic scripts without integrity verification. A remote attacker, by performing a Man-in-the-Middle (MITM) attack or compromising the HTTP server providing these scripts, could substitute an arbitrary executable. This malicious executable would then run with the installer's user ID (UID) and full cluster-provisioning privileges, leading to arbitrary code execution.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory