OSAC operator: Kubeconfig-Credential-Plugin-Ausführung und SSRF im Console Proxy

Zusammenfassung

Der Console Proxy des OSAC operator, einem Kubernetes-Operator, parst Kubeconfig-Daten aus Kubernetes-Secrets, ohne die resultierende Konfiguration zu bereinigen. Ein Angreifer, der ein Secret mit dem Label osac.openshift.io/remote-cluster-kubeconfig in einem Namespace erstellen oder ändern kann, den der Proxy lesen darf, kann beliebige Prozesse als Service Account des console-proxy im Pod ausführen. Ausserdem kann der Angreifer bewirken, dass der Proxy Anfragen an beliebige Server sendet (Server-Side Request Forgery). Die Modi Remote und Auto für VM-Cluster sind betroffen, wobei Auto der Standard ist; der Modus Local ist nicht betroffen.

Betroffen

• OSAC operator (osac-project/osac-operator) vor Commit 7e4222b, gemäss CNA-Eintrag
• Vom CNA genannte betroffene Revision: 8220502
• Modi Remote und Auto für VM-Cluster (Auto ist der Standard)
• Ausschliesslich Modus Local ist nicht betroffen

Behoben in

• Commit 7e4222b behebt den Pfad zur Ausführung des Credential-Plugins
• Commit 7e4222b behebt den SSRF-Pfad über die Serveradresse nicht
• Fixierte Release-Version: Unbekannt.
• Status von Commit 86466378 in Bezug auf den SSRF-Pfad: Unbekannt.

Umgehung

• Kein offizieller Workaround bekannt.
• Modus Local für VM-Cluster verwenden, falls Remote- oder Auto-Modus nicht benötigt wird.
• Einschränken, wer Secrets mit dem Label osac.openshift.io/remote-cluster-kubeconfig erstellen oder ändern kann.
• Leserechte auf Secrets prüfen, die dem RoleBinding des Console Proxy gewährt werden.

Ausnutzung

• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS: 0.51 % (Perzentil 43).

Unsere Empfehlung

• Prüfen, ob der OSAC operator eingesetzt wird und welcher VM-Cluster-Modus verwendet wird.
• Wo möglich auf den Modus Local wechseln.
• Rechte zum Erstellen und Ändern von Secrets einschränken und das RoleBinding des Console Proxy prüfen.
• Die GitHub-Sicherheitsmitteilung GHSA-5w5g-j6hw-6p8f und die Releases von osac-operator auf eine Version überwachen, die sowohl den Exec- als auch den SSRF-Pfad behebt.
• Deployments im Modus Remote oder Auto bis zur Bestätigung einer fixierten Version bezüglich SSRF als ungepatcht behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit 7e4222b (credential-plugin fix) github.com
• GitHub commit 86466378 github.com
• GitHub pull request #321 github.com
• GitHub Security Advisory GHSA-5w5g-j6hw-6p8f github.com
• Positive Technologies PT-2026-134176 vulners.com
• VulDB CVE-2026-62284 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:44.