红帽 OpenShift 漏洞允许攻击者绕过 PGP 检查并推送恶意版本

Rhinoer
Rhinoer

犀牛安全

2026年10月9日 00:00
山西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

红帽公司披露了OpenShift oc-mirror 工具中的一个重要安全漏洞，该漏洞可能允许攻击者绕过 PGP 签名验证，并将恶意发布镜像引入到断开连接的 OpenShift 环境中。

该漏洞编号为 CVE-2026-75939，CVSS v3.1 评分为 7.4，于 2026 年 9 月 21 日公开。该漏洞影响 openshift/oc-mirror 组件，组织使用该组件将 OpenShift 版本镜像、操作员目录和相关内容复制到私有注册表中。

对于物理隔离或断开连接的部署，此过程尤为重要，因为系统无法直接从 Red Hat 注册表或公共互联网下载软件。

据红帽公司称，oc-mirror 工具对 PGP 签名的发布镜像签名验证有误。该工具在完成对整个签名消息体的处理之前，就开始检查签名错误。

这就造成了一种验证绕过的情况，即精心构造的 PGP 消息即使签名是伪造的，也可能看起来像是可信的。

红帽 OpenShift 漏洞

攻击者需要能够拦截或篡改受影响的 oc-mirror 实例与签名端点之间的流量。然后，他们可以提供包含有效 Red Hat 发布密钥 ID 的伪造 PGP 消息。

由于验证流程存在漏洞，该工具可能将恶意消息误判为合法消息，并将恶意发布有效载荷镜像到断开连接的注册表中。这会造成严重的供应链风险，因为镜像内容通常被视为已批准的内部软件。

一旦恶意发布镜像到达私有镜像仓库，OpenShift 管理员或自动化安装流程就可能选择该镜像进行部署。这可能会使集群面临未经授权的代码执行、应用程序篡改、凭证窃取或数据访问的风险。

红帽公司将此问题评为“重要”，并将其归类为网络攻击途径。该漏洞无需攻击者拥有特权或用户交互即可利用。

然而，由于攻击者必须成功操纵与特征码相关的网络流量，因此该漏洞利用攻击的复杂度很高。红帽的 CVSS 向量显示，该漏洞对机密性和完整性造成严重影响，而对可用性的影响则被评为无影响。

受影响的组件是 Red Hat OpenShift Container Platform 4 中的 openshift4/oc-mirror-plugin-rhel9。RHEL 8 版本的插件未受影响，因为该组件不存在。

红帽公司指出，除非另有明确标记，否则受影响的次要产品流中的旧软件包版本通常应被视为易受攻击。

披露时，红帽公司表示，目前尚无任何切实可行的缓解措施能够满足其标准的部署和稳定性要求。因此，使用 oc-mirror 的组织应将版本镜像工作流程视为高风险，直到发布安全勘误表或更新的软件包为止。

管理员应限制对签名端点的网络访问，认真执行 TLS 检查安全措施，监控镜像注册表内容的异常变化，并在将内容推广到生产环境之前，通过独立的受信任渠道验证发布摘要。

团队还应审查断开连接的注册表访问控制，审核最近的镜像版本，并关注红帽的安全公告以获取补救更新。

信息来源：CyberSecurityNews