CVE-2026-19706 Aprobación incondicional de CSR en el arranque de la instalación basada en agente de OpenShift
Durante el bootstrap de ABI, el servicio approve-csr.service del nodo de bootstrap aprueba y firma todas las CSR sin validar la identidad. Un atacante en la red de instalación puede obtener el archivo Ignition no autenticado (puertos 22623/22624), extraer un kubeconfig limitado, enviar una CSR para CN=system:admin, recibir el certificado firmado y obtener acceso completo como cluster-admin. Solo es explotable durante la breve ventana de bootstrap.
CVSS 3.1
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Red Hat Assisted Installer for Red Hat OpenShift Container Platform 2
Versiones no especificadas.
Red Hat Assisted Installer for Red Hat OpenShift Container Platform 2
Versiones no especificadas.
Red Hat Assisted Installer for Red Hat OpenShift Container Platform 2
Versiones no especificadas.
Red Hat Multicluster Engine for Kubernetes
Versiones no especificadas.
Red Hat Multicluster Engine for Kubernetes
Versiones no especificadas.
Red Hat Multicluster Engine for Kubernetes
Versiones no especificadas.
Red Hat Multicluster Engine for Kubernetes
Versiones no especificadas.
Red Hat Red Hat OpenShift Container Platform 4
Versiones no especificadas.
Red Hat Red Hat OpenShift Container Platform 4
Versiones no especificadas.
Red Hat Red Hat OpenShift Container Platform 4
Versiones no especificadas.
Red Hat Red Hat OpenShift Container Platform 4
Versiones no especificadas.
Red Hat Red Hat OpenShift Container Platform 5
Versiones no especificadas.
Qué hacer
- Verificá si usás Assisted Installer for Red Hat OpenShift Container Platform 2.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.3 ALTA
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed adyacente
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
During ABI bootstrap, the bootstrap node's approve-csr.service approves and signs every CSR without identity validation.
An attacker on the install network can retrieve the unauthenticated Ignition file (ports 22623/22624), extract a limited kubeconfig, submit a CSR for CN=system:admin, receive the signed certificate, and gain full cluster-admin access.
Exploitable only during the narrow bootstrap window.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.