Een beveiligingslek, gedetecteerd als CVE-2026-75939, is op 21 september 2026 openbaar gemaakt. Het betreft een kwetsbaarheid in het openshift/oc-mirror-hulpprogramma, een essentieel onderdeel voor het kopiëren van OpenShift release-images, operatorcatalogi en gerelateerde inhoud naar privé-registers. Dit hulpprogramma wordt met name gebruikt voor de beveiliging van geïsoleerde, zogenaamde 'air-gapped' omgevingen. De specifieke kwetsbaarheid bevindt zich in de openshift4/oc-mirror-plugin-rhel9 binnen Red Hat OpenShift Container Platform 4. De RHEL 8-variant van de plugin is niet door dit probleem getroffen.

Het kernprobleem ligt bij de onjuiste controle van PGP-ondertekende handtekeningen door oc-mirror. Het gereedschap verifieert handtekeningen onvolledig, waardoor een speciaal vervaardigd PGP-bericht met een vervalste handtekening toch als legitiem kan worden beschouwd. Dit maakt het mogelijk om de verificatieprocedure te omzeilen en schadelijke release-images te introduceren in beveiligde, geïsoleerde OpenShift-omgevingen. De kwetsbaarheid heeft een CVSS v3.1-score van 7.4 en wordt door Red Hat geclassificeerd als "Important". Hoewel de aanval complex is en vereist dat aanvallers netwerkverkeer dat met handtekeningen te maken heeft, kunnen onderscheppen of aanpassen, zijn er geen speciale privileges of interactie van de gebruiker nodig. De impact op de vertrouwelijkheid en integriteit van de gegevens is hoog, terwijl de beschikbaarheid niet wordt aangetast.

Om misbruik van deze kwetsbaarheid mogelijk te maken, moet een aanvaller de communicatie tussen de oc-mirror-instantie en het handtekening-eindpunt kunnen onderscheppen of manipuleren. Hierdoor kan een vervalst PGP-bericht, voorzien van een legitieme Red Hat release-sleutel-ID, worden ingevoerd. De foutieve validatie zorgt ervoor dat het gereedschap dit kwaadaardige bericht aanneemt en vervolgens een malafide release-payload naar een geïsoleerd register kan spiegelen.

Dit vormt een significant risico voor de toeleveringsketen van software, aangezien gespiegelde inhoud vaak wordt beschouwd als betrouwbare, intern goedgekeurde software. Eenmaal in het privé-register kan de schadelijke release-image worden geselecteerd voor implementatie, met potentieel ernstige gevolgen zoals ongeautoriseerde code-uitvoering, corruptie van applicaties, diefstal van inloggegevens of onbevoegde toegang tot gegevens.

Op het moment van openbaarmaking waren er geen directe, breed toepasbare oplossingen die voldoen aan de gebruikelijke standaarden voor implementatie en stabiliteit. Organisaties die oc-mirror gebruiken, wordt aangeraden om hun processen voor het spiegelen van releases als risicovol te beschouwen totdat Red Hat beveiligingsupdates of herziene pakketten beschikbaar stelt.

Beheerders worden geadviseerd om proactieve maatregelen te nemen. Dit omvat het beperken van netwerktoegang tot handtekening-eindpunten, nauwkeurige monitoring van TLS-inspectie, en het controleren op afwijkingen in de inhoud van gespiegelde registers. Het is essentieel om de authenticiteit van release-digests te verifiëren via onafhankelijke, vertrouwde kanalen alvorens de inhoud in productieomgevingen te gebruiken. Teams wordt tevens aangeraden om de toegangscontroles voor geïsoleerde registers te evalueren, recent gespiegelde releases te auditen, en de beveiligingsadviezen van Red Hat te volgen voor toekomstige herstelupdates.