„`html
Zusammenfassung
Eine kritische Sicherheitslücke wurde im OpenShift Cloud Credential Operator (CCO) im Mint-Mode identifiziert. Die Schwachstelle ermöglicht es Angreifern, nach Kompromittierung von Operator-Credentials destruktive Aktionen mit account-weitem Umfang durchzuführen. Dies überschreitet die Isolation cluster-eigener Ressourcen erheblich.
Betroffene Systeme
Folgende Komponenten sind betroffen:
- OpenShift Cloud Credential Operator (alle betroffenen Versionen)
- AWS IAM-Konfigurationen im Mint-Mode
- OpenShift-Cluster mit aktiviertem Cloud-Integration-Modus
Technische Details
Der OpenShift CCO verwaltet Cloud-Provider-Credentials für Cluster-Operatoren. Im Mint-Mode werden IAM-Policies mit zu permissiven Berechtigungen konfiguriert. Statt auf cluster-spezifische Ressourcen begrenzt zu sein, gewähren die Operator-Credentials account-weite Autorisierungen für destruktive IAM-Operationen wie:
- Löschen von IAM-Rollen und Policies
- Manipulation von Access-Keys
- Cross-Cluster-Ressourcenzugriff
Ein Angreifer, der Operator-Credentials exfiltriert, kann damit das gesamte AWS-Konto gefährden, nicht nur den betreffenden Cluster.
Empfohlene Massnahmen
- Sofortig: Audit aller Operator-Credentials und deren Berechtigungen durchführen
- IAM-Policies auf Least-Privilege-Prinzip überprüfen und restriktiv anpassen
- Resource-Tags implementieren zur Isolation cluster-eigener Ressourcen
- CloudTrail-Logging aktivieren zur Überwachung IAM-Aktivitäten
- Credential-Rotation durchführen, wenn Kompromittierung vermutet wird
- Service-Accounts mit minimalen erforderlichen Berechtigungen neu konfigurieren
Bewertung
CVSS v3.1 Score: 7.2 (High)
Die hohe Einstufung reflektiert das Risiko account-weiter Kompromittierung. Ohne verfügbaren Patch sollten organisatorische Kontrollen und IAM-Richtlinien unmittelbar verschärft werden.
„`