つみかさね

CVE-2026-54100

High(8.3)

OpenShift WMCOのSSHホスト鍵未検証による中間者 CVE-2026-54100：影響範囲と対応方法

公開日: 2026-09-02データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Windows Machine Config Operator (WMCO)Red HatRHSA 情報を参照

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1oc get csv -A で WMCO のバージョンを確認する
  2. 2Red Hat 提供の WMCO 修正版（RHSA）を適用する
  3. 3ノード構成時の管理トラフィックのネットワーク分離を見直す

影響対象

OpenShift で WMCO を用い Windows ノードを運用する管理者

対応不要な人

  • ✓WMCO / Windows ノードを使用していない
  • ✓修正版へアップデート済み

補足

  • -隣接ネットワークからの中間者を前提とした攻撃のため、管理経路の分離とあわせて対応してください
CVEOpenShiftKubernetesSSH中間者

30秒で判断

  • 対応すべき人: OpenShift Container Platform で WMCO を用いて Windows ワーカーノードを運用している管理者
  • 対応不要な人: WMCO / Windows ノードを使用していない、または修正版へ更新済みの方
  • 確認コマンド: oc get csv -A | grep windows-machine-config で WMCO のバージョンを確認する
  • クイックアクション: Red Hat 提供の WMCO 修正版（RHSA）を適用する

概要

Red Hat OpenShift Container Platform 向けの Windows Machine Config Operator（WMCO）における問題です。WMCO は Windows ワーカーノードへ SSH 接続する際、リモートサーバのホスト鍵を検証していませんでした。隣接ネットワークの攻撃者が WMCO の SSH セッションを傍受・リダイレクトできる場合、ノード構成時に転送される WICD および kubelet ブートストラップ認証情報を窃取し、クラスタ内の Windows ノード identity を侵害し得ます。

CVSSスコアは 8.3（High）、CWEは CWE-295（不適切な証明書/ホスト鍵検証）に分類されています。

CVSSベクトル

項目値
CVSSスコア8.3
深刻度High
CWECWE-295
攻撃元区分隣接ネットワーク

影響を受けるソフトウェア

製品ベンダー影響バージョン
Windows Machine Config Operator (WMCO)Red HatRHSA 情報を参照

修正バージョンと回避策

Red Hat が提供する WMCO の修正版（RHSA-2026:47173 など）を適用してください。あわせて、ノード構成時の管理トラフィックが信頼できないネットワークを経由しないよう、ネットワーク分離・セグメンテーションを見直すことを推奨します。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-54100
Red Hat CVEhttps://access.redhat.com/security/cve/CVE-2026-54100
RHSAhttps://access.redhat.com/errata/RHSA-2026:47173

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-54100
Red Hat:https://access.redhat.com/security/cve/CVE-2026-54100
RHSA:https://access.redhat.com/errata/RHSA-2026:47173
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。