شرکت Red Hat یک آسیب‌پذیری مهم در پلتفرم OpenShift شناسایی کرده است که به مهاجمان اجازه می‌دهد با دور زدن مکانیزم‌های بررسی امضای (Signature) تصاویر ریلیز، محموله‌های مخرب (Malicious Payloads) را وارد Registryهای قطع شده از شبکه (Disconnected Registries) کنند.
تحلیل فنی آسیب‌پذیری CVE-2026-75939
این نقص امنیتی که با شناسه CVE-2026-75939 ردیابی می‌شود، ابزار openshift/oc-mirror را هدف قرار داده و امتیاز CVSS v3.1 آن 7.4 ارزیابی شده است. مدیران سیستم‌ها از ابزار oc-mirror برای دریافت تصاویر ریلیز از منابع Upstream و کپی آن‌ها در یک Registry داخلی برای کلاسترهای ایزوله استفاده می‌کنند تا اصالت تصاویر در محیط‌های بدون دسترسی به اینترنت حفظ شود.
طبق گزارش Red Hat، ابزار oc-mirror فرآیند تأیید امضای PGP را به درستی انجام نمی‌دهد. این ابزار پیش از پردازش کامل بدنه امضا شده، خطاهای امضا را بررسی می‌کند؛ این نقص باعث ایجاد شرایطی می‌شود که در آن امکان دور زدن تأییدیه (Verification Bypass) فراهم می‌گردد.
سناریوی حمله و اثرات آن
مهاجمی که بتواند ترافیک مربوط به Endpointهای امضا را رهگیری یا دستکاری کند، می‌تواند یک پیام PGP ایجاد کند که در ظاهر دارای Key ID معتبر Red Hat باشد اما حاوی یک امضای جعلی (Forged Signature) باشد. در صورتی که سازمان این متادیتا یا محموله تغییر یافته را بپذیرد، محتوای مخرب به عنوان یک نسخه مورد اعتماد در Registry داخلی سازمان Mirror می‌شود.
در نتیجه، استقرار (Deployment)های بعدی از محتوایی استفاده می‌کنند که تحت کنترل مهاجم است، در حالی که اپراتورها به اشتباه تصور می‌کنند این محتوا مورد اعتماد است. این موضوع ریسک شدیدی برای یکپارچگی (Integrity) نرم‌افزارهای مستقر در محیط‌های ایزوله ایجاد می‌کند.
جزئیات فنی و محدوده اثر
- بردار حمله: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
- نوع نقص: CWE-347 (تأیید نادرست امضاهای رمزنگاری شده)
- اجزای آسیب‌پذیر: کامپوننت
openshift4/oc-mirror-plugin-rhel9در OpenShift Container Platform 4. - نکته: پلاگین RHEL8 به دلیل عدم وجود این کامپوننت، تحت تأثیر این آسیب‌پذیری نیست.
توصیه‌های امنیتی و اقدامات پیشگیرانه
در حال حاضر هیچ Patch یا Erratum رسمی برای این مشکل منتشر نشده است. سازمان‌هایی که از Mirroring در محیط‌های ایزوله استفاده می‌کنند، باید اقدامات زیر را به عنوان کنترل‌های جبرانی (Compensating Controls) اجرا کنند:
- شناسایی سیستم‌های دارای پلاگین
oc-mirrorنسخه RHEL9 و نظارت دقیق بر مسیرهای شبکه مربوط به دریافت امضاها. - بررسی و تحلیل Proxyها، DNS، بازرسی TLS و کنترل‌های خروجی (Egress) برای شناسایی هرگونه دستکاری در ترافیک.
- تأیید دستی Digestهای ریلیز و اصالت آن‌ها از طریق کانال‌های مستقل پیش از انتقال محتوا به محیط Production.
- نگهداری لاگ‌های عملیات Mirror و مقایسه محتویات Registry با Manifestها پس از هر بار همگام‌سازی.
- محدود کردن دسترسی‌های Write به Registry و بررسی هرگونه تغییر غیرمنتظره در Image-Digestها.
