{"id":144093,"date":"2025-10-04T05:11:54","date_gmt":"2025-10-04T03:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-red-hat-openshift-ai-dopuskayushhaya-root-dostup-k-uzlam-klastera"},"modified":"2025-10-04T05:11:54","modified_gmt":"2025-10-04T03:11:54","slug":"uyazvimost-v-red-hat-openshift-ai-dopuskayushhaya-root-dostup-k-uzlam-klastera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-red-hat-openshift-ai-dopuskayushhaya-root-dostup-k-uzlam-klastera","title":{"rendered":"Kwetsbaarheid in Red Hat OpenShift AI die roottoegang tot clusterknopen toestaat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het OpenShift AI Service-platform, waarmee clusterwerking voor het uitvoeren en trainen van AI-modellen kan worden georganiseerd, is een kwetsbaarheid ontdekt (CVE-2025-10725) die het mogelijk maakt voor een niet-geprivilegieerde gebruiker om beheerdersrechten voor het cluster te verkrijgen. Na een succesvolle aanval krijgt de aanvaller de mogelijkheid om het cluster te beheren, volledige toegang tot alle diensten, gegevens en applicaties die in het cluster draaien, evenals root-toegang tot de clusterknopen. <\/p>\n
Voor het uitvoeren van een aanval is voldoende om enige niet-geprivilegieerde geverifieerde toegang tot het platform te hebben; bijvoorbeeld, een onderzoeker die is aangesloten op OpenShift AI kan een aanval uitvoeren met behulp van een Jupyter-notebook. Het probleem heeft een kritieke gevarenniveau gekregen \u2014 9.9 van de 10. <\/p>\n
De kwetsbaarheid wordt veroorzaakt door een onjuiste toewijzing van de rol 'kueue-batch-user-role', die per ongeluk aan de groep 'system:authenticated' was gekoppeld, waardoor elke gebruiker van de service een taak (OpenShift Job) in elke namespace kon aanmaken. Bovendien kon elke gebruiker een taak aanmaken in de geprivilegieerde namespace 'openshift-apiserver-operator' en deze configureren om te draaien met de privileges van ServiceAccount. <\/p>\n
In de omgeving voor het uitvoeren van code met de privileges van ServiceAccount is een toegangstoken beschikbaar met de rechten van ServiceAccount, dat de aanvaller kon extraheren en gebruiken om meer bevoorrechte accounts te compromitteren. Uiteindelijk kon de aanval leiden tot het verkrijgen van root-toegang tot de masterknopen, waarna de aanvaller volledige controle over de gehele inhoud van het cluster kreeg. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"