🟠 CVE-2026-46579: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-46579 ist eine kritische Sicherheitslücke im OpenShift Router mit dem CVSS-Score 7.4 (High). Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, mutual TLS (mTLS) Authentifizierungsmechanismen zu umgehen, indem manipulierte HTTP-Header injiziert werden. Dadurch können Angreifer Client-Zertifikat-Identitäten spoofing durchführen und auf geschützte Backends zugreifen.

Betroffene Systeme

Diese Sicherheitslücke betrifft OpenShift Router-Installationen, die Routes mit aktiviertem `insecureEdgeTerminationPolicy: Allow` konfigurieren. Dies ist typischerweise in Umgebungen der Fall, die HTTP-zu-HTTPS-Umleitung erlauben oder Legacy-Anwendungen unterstützen müssen. Die Anfälligkeit besteht unabhängig von der OpenShift-Version, solange die genannte Konfiguration verwendet wird.

Technische Details

Der Router validiert und filtert nicht korrekt die `X-SSL-Client-*` HTTP-Header bei Requests, wenn `insecureEdgeTerminationPolicy` auf „Allow“ gesetzt ist. Diese Header werden normalerweise vom Router gesetzt und enthalten Client-Zertifikat-Informationen aus TLS-Handshakes.

Ein Angreifer kann direkt HTTP-Requests mit gefälschten `X-SSL-Client-Cert`, `X-SSL-Client-Subject` oder ähnlichen Headern senden. Da der HTTP-Frontend diese Headers nicht entfernt, werden sie an den Backend-Service weitergeleitet. Backend-Anwendungen, die diesen Headers zur mTLS-Authentifizierung vertrauen, akzeptieren die gefälschten Identitäten als legitim.

Angriffsvektor: Netzwerk (keine Authentifizierung erforderlich, einfache HTTP-Requests mit Custom-Headers).

Empfohlene Massnahmen

• Immediate: Überprüfen Sie alle Routes mit `insecureEdgeTerminationPolicy: Allow` in Ihrer Umgebung
• Mitigation: Setzen Sie `insecureEdgeTerminationPolicy` auf „Redirect“ oder „None“, sofern möglich
• Validation: Implementieren Sie Header-Validierung auf Backend-Seite; vertrauen Sie nicht blind auf `X-SSL-Client-*` Header
• Monitoring: Loggen und analysieren Sie verdächtige `X-SSL-Client-*` Header-Patterns
• Patch: Warten Sie auf offiziellen Security Patch von Red Hat und deployen Sie diesen zeitnah

Bewertung

Mit CVSS 7.4 stellt diese Schwachstelle eine erhebliche Sicherheitsbedrohung dar, insbesondere für Umgebungen, die auf mTLS für Service-to-Service-Authentifizierung angewiesen sind. Die fehlende Verfügbarkeit eines Patches zum Zeitpunkt der Veröffentlichung erhöht die Priorität defensiver Massnahmen zusätzlich. Eine rasche Anpassung der Route-Konfiguration ist empfohlen.

„`