30秒で判断
- 対応すべき人: OpenShift Router を利用し、
insecureEdgeTerminationPolicy: Allowの Route を運用しており、バックエンドがX-SSL-Client-*ヘッダを相互TLS認証に利用している管理者 - 対応不要な人: OpenShiftを使用していない方 /
insecureEdgeTerminationPolicyにAllowを使用していない方 / 該当するRHSAを適用済みの方 - 確認方法: Route の
insecureEdgeTerminationPolicy設定と、OpenShift Router のバージョン・RHSA適用状況を確認する
概要
OpenShift Router において、Route の insecureEdgeTerminationPolicy が Allow に設定されている場合、HTTP フロントエンドが受信リクエストの X-SSL-Client-* ヘッダを除去しないことに起因する脆弱性です（CVSS 7.4）。
このため、未認証の攻撃者が細工した X-SSL-Client-* ヘッダを付与した平文 HTTP リクエストを送信でき、これらのヘッダを相互TLS（mTLS）認証に利用しているバックエンドにおいて、クライアント証明書のなりすましが成立しうる可能性があります。結果として認証のバイパスにつながるおそれがあります。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| CVSSスコア | 7.4 (High) |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| OpenShift Router | 修正版はRHSA参照 |
修正バージョンと回避策
- 対策: Red Hat から提供されているセキュリティパッチを適用
- 回避策: 該当 Route の
insecureEdgeTerminationPolicyにAllowを使用しない。バックエンド側で信頼できる境界からのX-SSL-Client-*ヘッダのみを受け入れるよう構成する
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。