Sicherheitslücke · mittel
BSI-Warnung: Red Hat OpenShift Container Platform mit DoS-Schwachstellen
Tier B · Diese Woche patchen – Ab in den Sprint
Wer betroffen ist: Installationen von Red Hat OpenShift Container Platform mit betroffenen Komponenten
Tier B, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login
Reichweite
Angriff
Schaden
Fix
Verbreitetes Werkzeug · Aus der Ferne, ohne Login
Was zu tun ist
- Die Sicherheitsempfehlungen von Red Hat und verfügbare Updates für OpenShift Container Platform prüfen
Kurz gesagt
- Das BSI hat ein Update zu mehreren Schwachstellen in Red Hat OpenShift Container Platform veröffentlicht und stuft das Risiko als mittel ein.
- Ein entfernter, anonymer Angreifer kann die Schwachstellen ausnutzen, um einen Denial-of-Service-Angriff auszulösen.
- Betroffen sind laut BSI die Komponenten opentelemetry-go und qs.stringify.
Warum es wichtig ist
Wer OpenShift Container Platform betreibt, kann durch einen Denial-of-Service-Angriff ohne Anmeldung Ausfälle von Cluster-Diensten erleiden. Die Warnung sollte bei der Prüfung der eigenen Cluster-Versionen und Sicherheitsupdates berücksichtigt werden.
Die Checkliste hinter dem Tier
Checkliste · 3 von 10 mit Ja
| Ja | Trifft Tech-Teams | OpenShift ist eine Container-Plattform, die Ops- und IT-Teams betreiben. |
| Nein | Kerninfrastruktur | Herstellerprodukt von Red Hat, nicht die Kerninfrastruktur wie Kubernetes-Kern oder OpenSSH. |
| Ja | Verbreitetes Werkzeug | OpenShift ist in Unternehmen weit verbreitete Plattform. |
| Nein | Wird ausgenutzt | BSI WID: Keine Angaben zu beobachteten Angriffen, nur Warnung vor Schwachstellen. |
| Nein | Exploit öffentlich | BSI WID: Kein veröffentlichter Exploit oder PoC genannt. |
| Ja | Aus der Ferne, ohne Login | BSI WID: Entfernter, anonymer Angreifer kann die Schwachstellen ausnutzen. |
| Nein | Volle Übernahme | BSI WID: Angriffe führen zu Denial of Service, keine Codeausführung genannt. |
| Nein | Geheimnisse offengelegt | BSI WID: Nur Denial of Service, keine Datenabflüsse genannt. |
| Nein | Lieferkette | BSI WID: Keine Kompromittierung von Paketen oder Build-Pipelines genannt. |
| Nein | Noch kein Fix | BSI WID: Update-Meldung; zur Verfügbarkeit eines Fixes keine Angabe. |
Zeitleiste
Quelle
[UPDATE] [mittel] Red Hat OpenShift Container Platform (opentelemetry-go, qs.stringify): Mehrere Schwachstellen ermöglichen Denial of Service ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 45 Min.
Zuerst gesehen · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden