Red Hat bootc/ostree: Fehlende Signaturprüfung gestagter Deployments
Zusammenfassung
Ein Fehler in bootc und ostree erlaubt es, bereits gestagte Betriebssystem-Deployments ohne Prüfung des Container-Images gegen die aktuelle Signaturrichtlinie zu finalisieren. Ein Angreifer mit lokalem Zugriff, der das Staging oder die Signaturrichtlinie beeinflussen kann, kann nach einer Verschärfung der Richtlinie nicht signierte Inhalte bootfähig halten, was bei einem Neustart zur vollständigen Kompromittierung des Hosts führen kann. Die Angriffskomplexität ist hoch, und es sind weder Berechtigungen noch Benutzerinteraktion erforderlich.
Betroffen
- Von Red Hat genannte Produkte: Red Hat Enterprise Linux 8, 9 und 10, Red Hat Hardened Images, Red Hat OpenShift Container Platform 4
- Der CVE-Eintrag von Red Hat listet RHEL und OpenShift standardmässig als nicht betroffen und Hardened Images standardmässig als betroffen; Drittquellen widersprechen sich zum Umfang
- Genaue betroffene Versionen: Unbekannt.
Behoben in
Unbekannt. In den geprüften Quellen wurden keine korrigierten Paketversionen bestätigt.
Umgehung
- Red Hat: Derzeit ist keine Massnahme verfügbar, die deren Kriterien erfüllt.
- Drittanbieter-Empfehlung (CME, nicht von Red Hat verifiziert): Alle gestagten ostree-Deployments nach der Verschärfung von /etc/containers/policy.json entfernen und nie nicht signierte Container-Images stagen.
- Kompensierende Massnahmen (beheben die Schwachstelle nicht): SELinux im Enforcing-Modus und IMA/EVM-Appraisal.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- Nicht in der CISA-KEV-Liste aufgeführt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- EPSS unter 1%.
Unsere Empfehlung
- Prüfen, ob auf Hosts bootc oder ostree eingesetzt wird (zum Beispiel image-basiertes RHEL, Hardened Images oder OpenShift-Knoten).
- Falls nicht, ist keine Massnahme nötig.
- Falls ja, das Red-Hat-Update sofort nach Veröffentlichung einspielen und das Advisory verfolgen.
- Bis dahin gestagte Deployments nach jeder Richtlinienänderung entfernen, sicherstellen, dass nie nicht signierte Images gestaged werden, und einschränken, wer Deployments stagen oder die Signaturrichtlinie ändern darf.
- Das Red-Hat-Advisory auf eine offizielle Workaround-Empfehlung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-16460 access.redhat.com
- Red Hat Bugzilla 2503167 bugzilla.redhat.com
- VulDB CVE-2026-16460 vuldb.com
- OpenCVE CVE-2026-16460 app.opencve.io
- Strix CVE-2026-16460 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 00:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.