„`html

CVE-2026-18381: Authentifizierungs-Token-Offenlegung in koku-metrics-operator

Zusammenfassung

Eine kritische Schwachstelle wurde im koku-metrics-operator für Red Hat OpenShift identifiziert. Die Vulnerability ermöglicht es authentifizierten Benutzern mit Schreibzugriff auf die CostManagementMetricsConfig Custom Resource (CR), einen beliebigen Upload-URL anzugeben. Der Operator sendet daraufhin seinen eigenen Kubernetes Service-Account Bearer Token an diese benutzergesteuerte URL, wodurch ein Angreifer das Token erlangen kann.

Betroffene Systeme

• Red Hat OpenShift Cluster mit installiertem koku-metrics-operator
• Alle Versionen des koku-metrics-operator (solange kein Patch verfügbar ist)
• Umgebungen mit Multi-Tenant-Konfigurationen sind besonders gefährdet

Technische Details

Angriffsvektor: Network-basiert mit Authentifizierung erforderlich

CVSS v3.1 Score: 7.6 (High)

Der Angreifer benötigt Zugriff zum Bearbeiten der CostManagementMetricsConfig CR. Durch Manipulation des upload_url-Parameters kann eine HTTP-Request an eine kontrollierte Infrastruktur umgeleitet werden. Das Service-Account Token wird im Authorization-Header oder als Query-Parameter übermittelt und ist für die Angreifer-Infrastruktur sichtbar. Mit diesem Token können Angreifer auf alle Kubernetes-APIs mit den Berechtigungen des Operators zugreifen.

Empfohlene Massnahmen

• RBAC-Beschränkung: Beschränken Sie den Zugriff auf CostManagementMetricsConfig CRs auf vertrauenswürdige Administratoren
• Netzwerk-Isolation: Implementieren Sie egress-Filterung für Operator-Pods
• Monitoring: Überwachen Sie ungewöhnliche HTTPS-Verbindungen vom Operator
• Service-Account-Rotation: Implementieren Sie regelmäßige Token-Rotation
• Patch-Management: Warten Sie auf offizielle Security-Patches von Red Hat

Bewertung

Diese Schwachstelle stellt ein hohes Risiko dar, da sie zur vollständigen Cluster-Kompromittierung führen kann. Die fehlende Validierung der Upload-URL ist ein klassischer Credential-Leakage-Fehler. Immediate Mitigationen sind bis zur Verfügbarkeit eines Patches essentiell.

„`