openshift-ansibleのインストーラーに改ざんされたスクリプトを実行される脆弱性
Summary
openshift-ansibleのインストーラーコンテナーは、インベントリや動的スクリプトを取得する際に整合性を確認しません。通信経路での中間者攻撃や配信サーバーの侵害により任意の実行ファイルを差し替えられると、インストーラーの権限で任意のコードを実行され、クラスター構築に関わる強い権限が悪用されるおそれがあります。CVSSは7.4で、悪用の情報は公表されていません。修正版の有無は確認できていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
openshift-ansibleのインストーラーコンテナーは、インベントリや動的スクリプトを取得する際に整合性を確認しません。通信経路での中間者攻撃や配信サーバーの侵害により任意の実行ファイルを差し替えられると、インストーラーの権限で任意のコードを実行され、クラスター構築に関わる強い権限が悪用されるおそれがあります。CVSSは7.4で、悪用の情報は公表されていません。修正版の有無は確認できていないため、最新の情報を確認してください。
Original description The description as published by the source.
A flaw was found in openshift-ansible. The installer container's run script downloads and executes remote inventory and dynamic scripts without integrity verification. A remote attacker, by performing a Man-in-the-Middle (MITM) attack or compromising the HTTP server providing these scripts, could substitute an arbitrary executable. This malicious executable would then run with the installer's user ID (UID) and full cluster-provisioning privileges, leading to arbitrary code execution.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com
- web secalert@redhat.com
- web secalert@redhat.com
- web secalert@redhat.com
- web secalert@redhat.com
- web secalert@redhat.com