「OpenShift GitOps」に権限昇格の脆弱性 - クラスタ掌握のおそれ

GitリポジトリやCI/CDツール、Kubernetesを統合したワークフロー環境を構築できる「OpenShift GitOps」に脆弱性が判明し、セキュリティアップデートがリリースされた。悪用には一定の権限が必要だが、クラスタ全体を侵害されるおそれがある。

ネームスペースの管理者が細工した「ArgoCD Custom Resource（CR）」を作成し、権限の昇格が可能となる脆弱性「CVE-2025-13888」が確認された。

脆弱性を悪用するには、ネームスペースの管理権限が必要とされるが、マスターノード上に特権を持つワークロードを作成してクラスタ全体の管理権限を掌握できる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価されているが、RedHatでは脆弱性の重要度を上から2番目にあたる「重要（Important）」とレーティングした。

セキュリティアップデートとなる「Red Hat OpenShift GitOps 1.18.2」「同1.17.3」「同1.16.5」において同脆弱性は解消された。

これらアップデートでは、「Redis」に関する「CVE-2025-49844」をはじめ、サードパーティ製ソフトウェアに起因する脆弱性の修正も実施されている。

（Security NEXT - 2025/12/19 ）ツイート