OpenShift の image-customization-controller が認証なしでイメージを配信（CVE-2026-82976）: CVSS v3.1 7.1、pull secret・SSH 鍵が取り出せるおそれ

Red Hat は、OpenShift Container Platform のベアメタル構築で使う image-customization-controller に、認証のない HTTP サーバーが原因で情報が漏れる問題（CVE-2026-82976）があるとして、2026-11-03 に NVD へ登録しました。NVD の状態は「Awaiting Analysis」です。

何が起きるか

• NVD の記載によると、このコントローラーはポート 8084 で HTTP のファイルサーバーを動かしており、認証がありません。
• ルートのパスを開くと、登録済みイメージの一覧（ディレクトリ一覧）が見えます。各ホスト用のイメージ名はランダムな UUID で、この UUID が事実上の唯一のアクセス制御です。
• 各イメージには Ignition 設定が入っています。中身は、クラスターの pull secret（base64）、設定されていれば IRONIC_RAMDISK_SSH_KEY、プロキシ設定、ホストごとの NetworkManager 設定です。
• 同じネットワーク（隣接ネットワーク）にいる攻撃者は、UUID を一覧で取得してイメージをダウンロードし、pull secret と SSH 鍵を取り出せます。

数値と severity

• CVSS v3.1 は 7.1（HIGH）。ベクターは AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N で、評価したのは Red Hat です。
• 認証は不要ですが、攻撃元が隣接ネットワークに限られ、CVSS も 9 未満のため critical にはせず、severity は high とします。
• CWE は CWE-548（ディレクトリ一覧による情報露出）です。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• Red Hat OpenShift Container Platform 4 の ose-image-customization-controller（rhel8・rhel9）
• Red Hat OpenShift Container Platform 5 の ose-image-customization-controller（rhel9）
• 具体的な版の範囲は NVD では「affected」とだけ書かれており、未確認です。

対策

• 修正版は確認できていません。Red Hat の CVE ページと Bugzilla を確認してください。
• 修正までの間は、ポート 8084 へ届くネットワークを、必要なホストと管理用の経路に絞ることが考えられます。
• すでに第三者が届く環境でイメージが取得された可能性がある場合は、pull secret や SSH 鍵の入れ替えも検討してください（一般的な対応で、公式の指示ではありません）。

未確認の点

• 修正版の有無と、影響を受ける具体的な版。
• 実際の悪用の有無、攻撃コードの公開状況。
• 隣接ネットワークに限られる実際の構成（ポートの公開範囲）。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-82976
• Red Hat: CVE-2026-82976 のページ
• Red Hat Bugzilla: 2526334