Wysoki Oczekuje na analizę

CVE-2026-82976

opublikowano: 03.11.2026, 20:18

modyfikacja: 03.11.2026, 20:18

Ocena CVSS

7.1

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Znaleziono usterkę w kontrolerze dostosowywania obrazu używanym w stosie udostępniania bare metal w OpenShift. Kontroler rejestruje serwer plików HTTP na porcie 8084 bez uwierzytelnienia. Niestandardowa implementacja imageFileSystem udostępnia przeglądalną listę katalogów HTML wszystkich zarejestrowanych obrazów w ścieżce głównej. Jedyną kontrolą dostępu do obrazów poszczególnych hostów jest losowa nazwa pliku UUID; lista katalogów ujawnia te identyfikatory UUID każdemu dzwoniącemu w sieci udostępniającej. Każdy udostępniany obraz zawiera konfigurację Ignition zawierającą sekret ściągania klastra zakodowany w formacie base64, opcjonalny IRONIC_RAMDISK_SSH_KEY, ustawienia proxy i pliki kluczy NetworkManager dla poszczególnych hostów. Osoba atakująca sąsiadującą sieć może wyliczyć identyfikatory UUID wszystkich obrazów poprzez listę katalogów, pobrać dowolny obraz, wyodrębnić osadzoną konfigurację Ignition oraz odzyskać sekret ściągania klastra i klucz SSH.

### Dowód
**pkg/imagehandler/imagefilesystem.go — katalog główny można przeglądać i wylicza wszystkie nazwy obrazów UUID**
idź
func (f *imageFileSystem) Readdir(n int) ([]fs.FileInfo, błąd) {
f.mu.Lock()
odrocz f.mu.Unlock()
wynik := []fs.FileInfo{}
for _, im := zakres f.images {
wynik = dołącz (wynik, im)
}
zwróć wynik, zero
}

func (f *imageFileSystem) Open(łańcuch nazwy) (http.Plik, błąd) {
f.log.Info("Otwórz", "ścieżka", nazwa)
jeśli nazwa == "/" {
zwróć f, zero
}
...
```

**cmd/controller/main.go — serwer plików powiązany ze wszystkimi interfejsami bez autoryzacji i TLS**
idź
http.Handle("/", http.FileServer(imageServer.FileSystem()))

przejdź do funkcji() {
serwer := &http.Serwer{
Adres: obrazyBindAddr, // domyślny „:8084”
ReadHeaderTimeout: 5 * czas. Drugi,
}
błąd := serwer.ListenAndServe()
```

**pkg/ignition/service_config.go:94-100 — sekret ściągania jest osadzony w każdym udostępnianym obrazie**
idź
func (b *ignitionBuilder) authFile() zapłon_config_types_32.File {
źródło := "data:;base64" + strings.TrimSpace(b.ironicAgentPullSecret)
zwróć zapłon_config_types_32.File{
Węzeł: zapłon_config_types_32.Node{Ścieżka: "/etc/authfile.json"},
...
```

### Wzór ataku
Sąsiedni klient sieci administracyjnej → GET / wyświetla nazwy obrazów UUID → pobierz ISO/initramfs → wyodrębnij osadzony Ignition → odzyskaj sekret ściągania klastra i klucz SSH.

A flaw was found in the image-customization-controller used in OpenShift's bare metal provisioning stack. The controller registers an HTTP file server on port 8084 with no authentication. The custom imageFileSystem implementation exposes a browsable HTML directory listing of all registered images at the root path. The only access control on per-host images is the random UUID filename; the directory listing discloses those UUIDs to any caller on the provisioning network. Each served image embeds an Ignition config containing the base64-encoded cluster pull secret, optional IRONIC_RAMDISK_SSH_KEY, proxy settings, and per-host NetworkManager keyfiles. An adjacent network attacker can enumerate all image UUIDs via directory listing, download any image, extract the embedded Ignition config, and recover the cluster pull secret and SSH key.

### Evidence
**pkg/imagehandler/imagefilesystem.go — root directory is browsable and enumerates all UUID image names**
```go
func (f *imageFileSystem) Readdir(n int) ([]fs.FileInfo, error) {
f.mu.Lock()
defer f.mu.Unlock()
result := []fs.FileInfo{}
for _, im := range f.images {
result = append(result, im)
}
return result, nil
}

func (f *imageFileSystem) Open(name string) (http.File, error) {
f.log.Info("Open", "path", name)
if name == "/" {
return f, nil
}
...
```

**cmd/controller/main.go — file server bound on all interfaces without auth or TLS**
```go
http.Handle("/", http.FileServer(imageServer.FileSystem()))

go func() {
server := &http.Server{
Addr: imagesBindAddr, // default ":8084"
ReadHeaderTimeout: 5 * time.Second,
}
err := server.ListenAndServe()
```

**pkg/ignition/service_config.go:94-100 — pull secret is embedded in every served image**
```go
func (b *ignitionBuilder) authFile() ignition_config_types_32.File {
source := "data:;base64," + strings.TrimSpace(b.ironicAgentPullSecret)
return ignition_config_types_32.File{
Node: ignition_config_types_32.Node{Path: "/etc/authfile.json"},
...
```

### Attack Pattern
Adjacent provisioning-network client → GET / lists UUID image names → download ISO/initramfs → extract embedded Ignition → recover cluster pull secret and SSH key.

>_ Słabości (CWE)

CWE-548

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve