CVE-2026-108334: обход политик Gateway в Kuadrant operator через HTTPRoute
В Kuadrant operator обнаружена уязвимость высокого риска (CVSS 7.4), позволяющая обойти аутентификацию и ограничение скорости на уровне Gateway. Проблема затрагивает Red Hat Connectivity Link и Red Hat OpenShift AI: злоумышленник с правами на HTTPRoute может подобрать match-значения, из-за которых проверки пропускаются, а запрос всё равно доходит до бэкенда.
Подробности
Уязвимость затрагивает внутренний WebAssembly (WASM) shim, используемый Kuadrant operator. При формировании CEL-предиката, который определяет, должны ли выполняться аутентификация и ограничение скорости (rate limiting) на уровне Gateway, shim не экранирует должным образом значения из полей match в HTTPRoute. Пользователь, имеющий право создавать или изменять HTTPRoute, привязанный к общему Gateway, может указать специально сформированное значение path, header или query match. Это приводит к тому, что предикат пропускает соответствующие проверки, однако сам запрос при этом продолжает перенаправляться на бэкенд маршрута. Таким образом, политики Gateway — аутентификация и rate limiting — фактически не применяются к такому трафику. Под уязвимость подпадают следующие продукты и версии: Red Hat Connectivity Link 1, 1.4 и 1.5, а также Red Hat OpenShift AI (RHOAI). Проблема особенно актуальна для сред с общей инфраструктурой Gateway, где несколько команд или арендаторов работают с одним Gateway и разделяют зоны ответственности за маршруты.Что делать
Основная рекомендация — обновить затронутые продукты до версий, содержащих исправление. Проверить наличие обновлений следует в официальных каналах Red Hat для Red Hat Connectivity Link и Red Hat OpenShift AI (RHOAI); перед установкой необходимо свериться с рекомендациями вендора по конкретным сборкам. До применения патча стоит рассмотреть компенсирующие меры. Целесообразно ограничить круг субъектов, имеющих права на создание и изменение HTTPRoute, привязанных к общим Gateway: чем меньше пользователей может влиять на match-поля маршрутов, тем ниже риск эксплуатации. Также имеет смысл проверить существующие HTTPRoute на предмет подозрительных значений path, header и query match и усилить мониторинг доступа к бэкендам, которые должны были быть защищены политиками Gateway. Дополнительно рекомендуется оценить возможность вынесения критичных маршрутов на отдельные Gateway, чтобы снизить эффект от компрометации общего периметра.Итог
CVE-2026-108334 — это уязвимость обхода политик безопасности, а не удалённого выполнения кода: она не даёт злоумышленнику прямого контроля над кластером, но позволяет обойти аутентификацию и ограничение скорости, настроенные на уровне Gateway. Наиболее опасна она в мультитенантных средах, где права на HTTPRoute распределены между разными командами. Ключевые шаги — оперативное обновление Red Hat Connectivity Link и RHOAI, а также временное ужесточение контроля над тем, кто и как может изменять HTTPRoute на общих Gateway.Источник: CVE Project (cvelistV5)