یک نقص امنیتی در image-customization-controller که در پشته (stack) فرآیند Bare Metal Provisioning در OpenShift استفاده می‌شود، شناسایی شده است. این کنترلر یک سرویس فایل HTTP را روی پورت 8084 بدون نیاز به هیچ‌گونه احراز هویت (Authentication) فعال می‌کند.
پیاده‌سازی imageFileSystem در این کنترلر، امکان مشاهده لیست فایل‌ها (Directory Listing) را در مسیر ریشه (Root) فراهم می‌سازد. اگرچه تنها کنترل دسترسی برای تصاویر هر میزبان (Host) بر اساس نام فایل‌های UUID تصادفی است، اما قابلیت Directory Listing باعث می‌شود این UUIDها برای هر مهاجمی که در شبکه Provisioning حضور دارد، به راحتی قابل مشاهده باشد.
نکته بسیار حائز اهمیت این است که هر تصویر ارائه شده، شامل یک پیکربندی Ignition است که حاوی cluster pull secret کدگذاری شده به صورت base64 و همچنین کلیدهای SSH (مانند IRONIC_RAMDISK_SSH_KEY) می‌باشد. اکسپلویت این آسیب‌پذیری می‌تواند منجر به دسترسی غیرمجاز به کلاستر و زیرساخت‌های حساس سازمان شود.
