🟠 CVE-2026-49332: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-49332 ist eine Sicherheitslücke mittlerer bis hoher Schwere in openshift/oauth-proxy (CVSS 8.5). Die Anfälligkeit ermöglicht es authentifizierten Benutzern mit geringen Privilegien, gefälschte Identity-Header in upstream-Anwendungen einzuschleusen und dadurch ihre Identität zu manipulieren.

Betroffene Systeme

Die Lücke betrifft openshift/oauth-proxy in verschiedenen Versionen. Besonders gefährdet sind Umgebungen, in denen:

• WSGI-Frameworks (Python) zum Einsatz kommen
• PHP-Frameworks als upstream-Anwendungen fungieren
• Mehrbenutzer-Szenarien mit differenzierten Zugriffsrechten existieren

Technische Details

Das oauth-proxy-Modul setzt authentifizierte Identitäten mittels Dash-Varianten (X-Forwarded-User) in HTTP-Headern. Der kritische Fehler liegt darin, dass Underscore-Varianten (X_Forwarded_User) nicht aus eingehenden Anfragen gefiltert werden.

WSGI und PHP normalisieren beide Header-Varianten zur gleichen Umgebungsvariablen. Ein Angreifer kann durch Manipulation der Underscore-Variante die legitime Dash-Variante überschreiben und sich als anderer Benutzer ausgeben. Dies ermöglicht Privilege-Escalation und unbefugte Ressourcenzugriffe.

Empfohlene Massnahmen

• Sofortige Implementierung eines Input-Validierungsmechanismus zur Filterung von X_Forwarded_User-Headern
• Whitelist-basierte Header-Normalisierung einführen
• Upstream-Anwendungen auf Header-Manipulation überprüfen
• Monitoring von verdächtigen Header-Kombinationen aktivieren
• Privilegien-Verwaltung überprüfen und beschränken
• Auf verfügbare Patches warten und zeitnah einspielen

Bewertung

Die Schwere dieser Lücke wird durch den hohen CVSS-Score von 8.5 zu Recht abgebildet. Da kein Patch verfügbar ist, sollten Mitigationsmaßnahmen unmittelbar umgesetzt werden. Das Risiko ist besonders in Multi-Tenant-Umgebungen erheblich.

„`