OpenShift Container Platform: Container-Ausbruch durch Ausführung privilegierter Binärdatei
Zusammenfassung
Der insights-runtime-extractor läuft als privilegiertes DaemonSet mit hostPID und kann dazu gebracht werden, eine Binärdatei aus dem Container eines Workloads auszuführen. Die ausgeführte Binärdatei läuft mit der Root-UID im Host-User-Namespace und erbt ein Arbeitsverzeichnis, das den CRI-O-Socket des Hosts offenlegt. Ein lokaler Angreifer, der einen Pod im Cluster planen kann, kann dadurch den gesamten Node kompromittieren, sofern der Prozessname des Workloads einem konfigurierten Fingerprint-Muster entspricht.
Betroffen
- Red Hat OpenShift Container Platform 4.19, 4.20, 4.21 und 4.22 (im CVE-Eintrag als betroffen aufgeführt)
- Genaue betroffene Builds: Unbekannt.
Behoben in
- Red Hat Errata RHSA-2026:83702 (OpenShift 4.21.39) und RHSA-2026:89198 (OpenShift 4.22.20) führen CVE-2026-104795 als behoben auf.
- Behobene Builds für OpenShift 4.19 und 4.20: Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt. Red Hat gibt an, dass ein Code-Fix nötig ist, der alle Privilegien vor der Ausführung einer Fingerprint-Binärdatei vollständig entzieht.
- Das Deaktivieren des Runtime-Extractors könnte den betroffenen Codepfad entfernen, dies ist jedoch vom Hersteller nicht bestätigt.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle OpenShift-4-Cluster und deren Versionen inventarisieren.
- Die Red Hat Errata für Ihre Version einspielen (RHSA-2026:83702 oder RHSA-2026:89198 und neuer) und die behobene Version für 4.19 und 4.20 bei Red Hat prüfen.
- Bis zum Patch den Kreis der Personen einschränken, die Pods auf gemeinsam genutzten Clustern erstellen dürfen.
- Auf unerwartete privilegierte Prozesse und Änderungen auf Cluster-Nodes achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat RHSA-2026:83702 access.redhat.com
- Red Hat RHSA-2026:89198 access.redhat.com
- Red Hat CVE record CVE-2026-104795 access.redhat.com
- Red Hat Bugzilla 2543917 bugzilla.redhat.com
- VulDB entry 419797 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:53.
Referenzen der NVD (6)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.