CVE-2024-7557
Açıklama
OpenShift AI'da, aynı namespace içindeki modeller arasında kimlik doğrulama atlatma ve yetki yükseltmeye izin veren bir güvenlik açığı bulundu. AI modelleri dağıtılırken, kullanıcı arayüzü modellerin kimlik doğrulama ile korunması seçeneğini sunmaktadır. Ancak, bir modele ait kimlik bilgileri, aynı namespace içindeki diğer modellere ve API'lere erişmek için kullanılabilmektedir. Kullanıcı arayüzünde görülebilen açık ServiceAccount token'ları, ServiceAccount ile ilişkili yükseltilmiş görüntüleme ayrıcalıklarını istismar etmek için oc --token={token} komutuyla kullanılabilir ve bu durum ek kaynaklara yetkisiz erişime yol açabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat openshift_ai | Aralık belirtilmemiş | — |
| redhat openshift_data_science | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.