Pulp-container: учётные данные реестров повторно используются между remotes в одном worker (CVE-2026-103868)

ЗАГОЛОВОК Pulp-container: учётные данные реестров повторно используются между remotes в одном worker (CVE-2026-103868) ===PREVIEW=== В pulp-container обнаружена уязвимость среднего уровня опасности (CVSS 6.5), из-за которой базовые и bearer-учётные данные одного remote могут применяться при последующих загрузках в том же worker. Пользователь, способный запускать синхронизацию container remote и указать в нём подконтрольный сервер, может получить логин, пароль или bearer-токен другого remote. Затронуты Red Hat Ansible Automation Platform 2, Red Hat Satellite 6 и Red Hat Update Infrastructure 4/5 для Cloud Providers. ===DETAIL === В pulp-container — компоненте управления контейнерными репозиториями — выявлена уязвимость, связанная с некорректной обработкой учётных данных при аутентификации на вышестоящем (upstream) реестре. Проблема получила идентификатор CVE-2026-103868 и оценку 6.5 (MEDIUM) по шкале CVSS.

Подробности

Согласно описанию, при аутентификации к upstream-реестру pulp-container повторно использует базовые (Basic) и bearer-учётные данные одного remote для последующих загрузок в рамках того же worker. Иными словами, credentials, сохранённые для одного remote, могут быть подставлены при обращении к другому. Эксплуатация возможна со стороны пользователя, который имеет право синхронизировать container remote и может направить этот remote на сервер под своим контролем. В результате он получает username, password или bearer-токен, сохранённые для другого remote, и может повторно использовать этот credential на upstream-реестре. Важно отметить границы воздействия: содержимое, хранящееся в Pulp, не изменяется, а сам сервис не останавливается. То есть речь идёт об утечке учётных данных, а не о нарушении целостности хранимого контента или отказе в обслуживании. Уязвимость затрагивает следующие продукты: - Red Hat Ansible Automation Platform 2; - Red Hat Satellite 6; - Red Hat Update Infrastructure 4 for Cloud Providers; - Red Hat Update Infrastructure 5.

Что делать

Основная рекомендация — установить обновления pulp-container, выпущенные вендором для перечисленных продуктов, и отслеживать соответствующие Red Hat Security Advisories. Поскольку уязвимость связана с повторным использованием учётных данных между remotes, после обновления целесообразно провести ротацию credentials, сохранённых для container remotes: пароли и bearer-токены, которые могли быть скомпрометированы, следует считать потенциально раскрытыми и заменить. Дополнительно стоит ограничить круг пользователей, имеющих право создавать и синхронизировать container remotes, а также внимательно проверять, на какие upstream-адреса указывают remotes. Это снижает вероятность того, что злоумышленник сможет направить синхронизацию на подконтрольный ему сервер. В качестве временной меры до установки патча можно рассмотреть ограничение прав на sync-операции и изоляцию remotes с разными уровнями доверия.

Итог

CVE-2026-103868 — уязвимость среднего уровня, при которой pulp-container переиспользует учётные данные одного remote при загрузках в том же worker, что позволяет получить credentials другого remote. Целостность содержимого Pulp и доступность сервиса не нарушаются, однако раскрытие паролей и токенов требует незамедлительной ротации после обновления. Приоритет — установка патчей вендора и ограничение прав на синхронизацию container remotes.

Источник: CVE Project (cvelistV5)