ckotzbauer vulnerability-operator: Fehlende Authentifizierung legt Schwachstellenberichte offen

Zusammenfassung

Der vulnerability-operator stellt seine JSON-Schwachstellenberichte über den HTTP-Port (Standard 8080) über den Endpunkt /report/ ohne Authentifizierung bereit, wobei die Verzeichnisauflistung aktiv ist. Jeder Client, der diesen Port erreichen kann, kann Berichte auflisten und herunterladen, die CVE-IDs, betroffene Paketnamen und -versionen sowie Container-Image-Bezeichner aller gescannten Workloads im Cluster offenlegen. Für den Angriff ist Netzwerkzugriff auf den Port nötig, jedoch keine Anmeldedaten und keine Benutzerinteraktion; Codeausführung oder Änderungen sind damit nicht möglich.

Betroffen

• ckotzbauer vulnerability-operator Versionen vor 0.28.16
• Untere Grenze der betroffenen Versionen: Unbekannt.

Behoben in

• Aktualisierung auf Version 0.28.16 oder neuer. Die Release-Notes verweisen auf 0.28.18 als neueres Release; die neueste Version verwenden.

Umgehung

• Netzwerkzugriff auf den HTTP-Port des Operators (Standard 8080) mit einer NetworkPolicy einschränken, sodass nur der Monitoring-Stack oder Administratoren ihn erreichen können.
• Den Service oder Ingress des Operators nicht ausserhalb des Clusters exponieren.
• Hinweis: /metrics enthält dieselben Daten und muss ebenfalls auf Netzwerkebene geschützt werden.

Ausnutzung

• Kein öffentlicher Exploit-Code bekannt.
• Keine Hinweise auf Ausnutzung in freier Wildbahn bekannt.
• Nicht in CISA KEV gelistet (Stand der Recherche, nicht gegen die Primärquelle verifiziert).

Unsere Empfehlung

• vulnerability-operator auf die neueste Version aktualisieren (mindestens 0.28.16).
• report-auth-token (VULN_REPORT_AUTH_TOKEN) aus einem Secret setzen und auf einer Testinstanz prüfen, dass report.json nach dem Update ohne Anmeldedaten nicht erreichbar ist.
• Eine NetworkPolicy anwenden, die den Zugriff auf Port 8080 begrenzt, und /metrics gleich schützen.
• Prüfen, ob der Port des Operators von ausserhalb des Clusters erreichbar ist, und eine solche Exposition sofort schliessen.
• Zugriffsprotokolle des Operators auf unerwartete Anfragen an /report/ und /metrics überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6v6c-4cxg-cc93 github.com
• Fix commit b083ab01: restrict /report/ endpoint access github.com
• GitHub Release 0.28.16 github.com
• GitHub Release 0.28.18 github.com
• Vulnerability-operator README github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:33.