CVE-2026-50237: SSRF и компрометация цепочки поставок в OpenShift Console через ProjectHelmChartRepository
В OpenShift Console обнаружена критическая уязвимость, позволяющая арендатору пространства имен обойти ограничения egress и инициировать подмену каталога Helm-чартов. Проблема затрагивает все поддерживаемые версии Red Hat OpenShift Container Platform и оценена в 7.4 балла по CVSS.
Подробности
Проблема локализована в компоненте OpenShift Console Helm catalog proxy. Суть уязвимости заключается в том, что арендатор пространства имен может создать ресурс ProjectHelmChartRepository, указав произвольный URL-адрес. Консольный под (console pod) при обработке этого запроса выполняет серверное извлечение данных (server-side fetch), что позволяет обойти ограничения egress, установленные на уровне арендатора. Особую опасность представляет комбинированный характер атаки: SSRF дополняется подменой метаданных каталога (catalog metadata poisoning) и последующей установкой вредоносных чартов через механизм, инициируемый администратором. Это создает вектор эскалации привилегий и компрометации цепочки поставки. Затронутые продукты: - Red Hat OpenShift Container Platform версии 4.12 – 4.22 Уязвимости присвоен показатель CVSS 7.4 (HIGH).Что делать
Компания Red Hat рекомендует администраторам OpenShift предпринять следующие шаги: 1. **Обновить платформу** – установить последние доступные обновления Red Hat OpenShift Container Platform для вашей версии продукта. Патчи, устраняющие CVE-2026-50237, уже включены в актуальные релизы. 2. **Проверить существующие ресурсы ProjectHelmChartRepository** – аудиторская проверка всех созданных экземпляров данного ресурса в кластере на предмет наличия подозрительных или несанкционированных URL-адресов. 3. **Усилить контроль за созданием ресурсов** – внедрить политики безопасности (Security Context Constraints, RBAC), ограничивающие круг лиц, имеющих право создавать и модифицировать ProjectHelmChartRepository. 4. **Мониторинг исходящих соединений** – в качестве митигации до применения обновлений рекомендуется настроить сетевые политики и прокси-решения, ограничивающие доступ консольного пода к произвольным внешним адресам. 5. **Включить детальное логирование** – для обнаружения попыток эксплуатации уязвимости на ранних стадиях. Игнорирование данной уязвимости может привести к несанкционированному доступу к внутренним ресурсам кластера, утечке данных и внедрению вредоносных компонентов в рабочие процессы развертывания приложений. Администраторам OpenShift рекомендуется незамедлительно провести оценку степени подверженности их инфраструктуры данной уязвимости и спланировать внедрение обновлений в кратчайшие сроки.Источник: CVE Project (cvelistV5)