🟠 CVE-2026-18378: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-18378 ist eine kritische Schwachstelle im koku-metrics-operator mit einem CVSS-Score von 7.6 (High). Die Vulnerabilität ermöglicht es Angreifern, die cluster-globale Red Hat Cloud Pull-Secret Bearer-Token durch manipulierte Upload-URLs zu exfiltrieren. Dies stellt eine ernsthafte Bedrohung für die Authentifizierung und den Zugriff auf Cloud-Services dar.

Betroffene Systeme

Die Schwachstelle betrifft verschiedene Implementierungen des koku-metrics-operator, insbesondere Installationen, bei denen die CostManagementMetricsConfig-Ressource durch Benutzer editierbar ist. Systeme mit aktivierter Token-basierter Authentifizierung (Standard-Konfiguration) sind besonders gefährdet.

Technische Details

Die Vulnerabilität liegt in der unzureichenden Validierung von Upload-URLs in der CostManagementMetricsConfig Custom Resource (CR). Benutzer mit CR-Bearbeitungsrechten können arbitrary URLs spezifizieren. Wenn das Feld authentication.type auf „token“ konfiguriert ist (Standard), wird der Bearer-Token des Red Hat Cloud Pull-Secrets automatisch in HTTP-Request-Headern an die benutzerdefinierte URL übertragen.

Dies ermöglicht Token-Exfiltration durch:

• Manipulation der Upload-URL zu attacker-kontrollierter Infrastruktur
• Automatische Token-Übertragung in Authorization-Headern
• Vollständige Kompromittierung der Cloud-Authentifizierung

Empfohlene Massnahmen

• Beschränkung der CR-Bearbeitungsrechte auf vertrauenswürdige Administratoren
• Implementierung von URL-Validierung und Whitelisting für Upload-Endpoints
• Umstellung auf alternative Authentifizierungsmechanismen (OAuth2)
• Regelmässige Rotation der Pull-Secret Bearer-Tokens
• Monitoring von unerwarteten HTTP-Requests an externe URLs
• Monitoring der CVE-Updates für Patch-Verfügbarkeit

Bewertung

Schweregrad: High (CVSS 7.6)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja (CR-Bearbeitungsrechte)
Patch-Status: Nicht verfügbar
Diese Schwachstelle erfordert sofortige Massnahmen zur Zugriffskontrolle bis ein Patch veröffentlicht wird.

„`