Red Hat OpenShift Container Platform: Übermässige Leserechte für Secrets im Insights Operator

Zusammenfassung

Die ClusterRole insights-operator-gather gewährt dem Dienstkonto des Insights Operator uneingeschränkten Lesezugriff (get und list) auf Secrets in allen Namespaces. Ein Angreifer, der einen Pod mit diesem Dienstkonto starten kann, kann alle Secrets im Cluster auslesen. Red Hat stuft die Schwachstelle mit CVSS 7.7 (High) ein; der Angriff erfordert niedrige Berechtigungen und Netzwerkzugriff auf den Cluster.

Betroffen

• OpenShift Container Platform 4.12, 4.14 bis 4.22 und 5 gemäss CVE-Eintrag (Standard: betroffen)
• Die genauen betroffenen und korrigierten Builds sind hier nicht bestätigt; der Titel des CVE-Eintrags nennt zusätzlich Berechtigungen für nodes/proxy und cluster-reader, was in der Red-Hat-Advisory überprüft werden muss

Behoben in

• RHSA-2026:82785 (OpenShift Container Platform 4.14.76) führt CVE-2026-93017 als behoben auf
• RHSA-2026:82813 (OpenShift Container Platform 4.15.70) führt CVE-2026-93017 als behoben auf
• Advisory für Ihre Nebenversion prüfen und das passende Update einspielen

Umgehung

Unbekannt. Red Hat gibt an, dass keine Massnahme verfügbar ist, die ihre Kriterien für einfache Anwendung, breite Verbreitung und Stabilität erfüllt.

Ausnutzung

• Zum Zeitpunkt der Erfassung ist keine öffentliche Ausnutzung bekannt
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise

Unsere Empfehlung

• OpenShift Container Platform auf die in der RHSA für Ihre Nebenversion genannte korrigierte Version aktualisieren
• Erstellung von Pods einschränken, besonders in gemeinsam genutzten Clustern, und RBAC-Bindungen des Dienstkontos des Insights Operator prüfen
• Falls ein Missbrauch nicht ausgeschlossen werden kann, Secrets im Cluster rotieren
• Audit-Logs auf Pods mit dem Gather-Dienstkonto und auf Secret-Zugriffe aus unerwarteten Quellen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page CVE-2026-93017 access.redhat.com
• RHSA-2026:82785 OpenShift Container Platform 4.14.76 access.redhat.com
• RHSA-2026:82813 OpenShift Container Platform 4.15.70 access.redhat.com
• Red Hat Bugzilla 2515741 bugzilla.redhat.com
• Insights Operator upstream PR 1347 (scoping of secret access) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 08:58.