Red Hat StreamsHub Console: Rechteausweitung über vom Mandanten gesteuertes Container-Image

Zusammenfassung

StreamsHub Console, von Red Hat als console-operator in Streams for Apache Kafka ausgeliefert, erlaubt einem authentifizierten Kubernetes-Mandanten mit Erstellungs- oder Änderungsrechten auf Console-Custom-Resources, ein beliebiges Container-Image auszuführen. Dieses Image läuft unter einem Service Account mit clusterweiten Lese- und teilweisen Schreibrechten auf Strimzi-Ressourcen, sodass ein Angreifer das projizierte Token auslesen und mandantenübergreifend auf die Kafka-Steuerungsebene zugreifen kann. Voraussetzung ist ein gemeinsam genutzter Cluster, in dem Nicht-Administratoren Console-Ressourcen verwalten können; Cluster mit einem einzigen Eigentümer sind nur eingeschränkt gefährdet.

Betroffen

• StreamsHub Console 0.2.0 bis vor 0.12.10
• StreamsHub Console 0.13.0 bis vor 0.14.2
• Red Hat Streams for Apache Kafka 2 und 3 (console-operator, laut CNA standardmässig betroffen)

Behoben in

• StreamsHub Console 0.14.2 (fügt Container-Image-Allowlist hinzu, Upstream #3039)
• StreamsHub Console 0.12.10: unbekannt, ob die Korrektur enthalten ist
• Red Hat Streams for Apache Kafka 2 und 3 Builds: unbekannt, Red Hat Advisory prüfen
• Nachträgliche Härtung in PR #3049: Release unbekannt, neueste Version verwenden

Umgehung

• Berechtigungen zum Erstellen, Ändern und Patchen von consoles.console.streamshub.github.com aus Rollen auf Mandantenebene entfernen
• Für spec.containers.api.spec.image eine Allowlist vertrauenswürdiger Registries mit OPA/Gatekeeper oder Kyverno erzwingen
• Ausgehenden Verkehr des console-api-Pods mit Network Policies auf benötigte Endpunkte beschränken
• Service Account der Console auf den Namespace beschränken und Zugriffe auf die Token-Datei überwachen (z. B. mit Falco oder eBPF)
• Console-Operator nur in Single-Tenant-Clustern betreiben, in denen nur Administratoren Console-CRs verwalten

Ausnutzung

• Gemäss aktuellem Stand nicht bekannt als aktiv ausgenutzt; nicht im CISA-KEV-Katalog
• Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• Alle Cluster mit StreamsHub Console oder dem Red Hat console-operator identifizieren
• Änderungsrechte auf Console-CRs für nicht administrative Rollen sofort entfernen
• Auf 0.14.2 oder neuer aktualisieren; 0.12-Linie und Red-Hat-Builds anhand des Advisory prüfen
• Workarounds bis zur Korrektur anwenden und Änderungen an Console-CRs sowie Aktivitäten des Service Accounts überwachen
• Gemeinsam genutzte Cluster mit mehreren Teams priorisieren; Cluster mit einem Eigentümer tragen ein geringeres Risiko

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record access.redhat.com
• Red Hat Bugzilla 2510863 bugzilla.redhat.com
• StreamsHub Console release 0.14.2 github.com
• StreamsHub Console PR #3049 github.com
• StreamsHub Console PR #3040 github.com
• OpenCVE CVE-2026-105312 app.opencve.io
• VulDB CVE-2026-105312 vuldb.com
• Vulners CVELIST CVE-2026-105312 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:14.