oc-mirror: Path Traversal mit beliebigem Schreiben von Dateien bei Katalogextraktion
Zusammenfassung
oc-mirror, das Werkzeug zum Spiegeln von OpenShift-Operator-Katalogen in getrennte Umgebungen, prüft extrahierte Tar-Einträge nicht darauf, ob sie im Zielverzeichnis bleiben. Ein bösartiges oder kompromittiertes Operator-Katalog-Image kann daher beliebige Dateien auf dem Host schreiben, auf dem oc-mirror läuft, mit den Rechten dieses Prozesses. Die Lücke wird ausgelöst, wenn ein präparierter Katalog über den Legacy-Pfad --v1 oder den Pfad --use-oci-feature gespiegelt wird, und ein Angreifer benötigt lokalen Zugriff auf den Spiegelungsprozess.
Betroffen
- Red Hat OpenShift Container Platform 4 (oc-mirror, verpackt als openshift4/oc-mirror-plugin-rhel9)
- Genaue betroffene Versionsbereiche: Unbekannt.
Behoben in
- Unbekannt. Es existieren Fix-Pull-Requests der Entwickler, es wurde aber keine bestätigte GA-Version mit der Korrektur gefunden.
- Prüfen Sie die Red-Hat-CVE-Seite und die OpenShift-Errata auf die Version des oc-mirror-plugin-Images, die im Einsatz ist.
Umgehung
- Kein Workaround des Herstellers verfügbar. Red Hat gibt an, dass keine Massnahme verfügbar ist oder die verfügbaren Optionen die Kriterien nicht erfüllen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht in der CISA-KEV-Liste.
- Kein öffentlicher Proof of Concept gefunden; fehlende Funde sind kein Beweis für die Abwesenheit einer Ausnutzung.
Unsere Empfehlung
- Operator-Kataloge nur aus vertrauenswürdigen, bekannten Registries spiegeln.
- oc-mirror als Nicht-root-Benutzer in einem dedizierten, wegwerfbaren Arbeitsverzeichnis ohne sensible Dateien ausführen.
- Die Berechtigung für Spiegelungsjobs einschränken und Katalogänderungen vor dem Spiegeln prüfen.
- oc-mirror aktualisieren, sobald Red Hat eine korrigierte GA-Version veröffentlicht.
- Die Red-Hat-CVE-Seite auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE page CVE-2026-101295 access.redhat.com
- Red Hat Bugzilla 2522941 bugzilla.redhat.com
- oc-mirror catalog_images.go (vulnerable code) github.com
- oc-mirror fbc_operators.go (vulnerable code) github.com
- OpenCVE CVE-2026-101295 app.opencve.io
- Fix pull request #1598 (release-4.13) github.com
- Fix pull request #1595 (release-4.17) github.com
- Vulners/Mend MEND:CVE-2026-101295 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:43.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.