JVNDB-2026-018714

レッドハットのRed Hat OpenShift Container Platform等の複数製品における認証に関する脆弱性

OpenShift ルーターに欠陥が見つかりました。Route の `insecureEdgeTerminationPolicy` が Allow に設定されている場合、HTTP フロントエンドは受信したリクエストから `X-SSL-Client-*` ヘッダーを削除しません。これにより、認証されていない攻撃者が細工された `X-SSL-Client-*` ヘッダーを含むプレーンな HTTP リクエストを送信できるようになります。その結果、相互 TLS (Transport Layer Security) 認証のためにこれらのヘッダーに依存しているバックエンドが回避され、攻撃者がクライアント証明書の身元をなりすますことが可能になります。

レッドハット

• OpenShift Router
• Red Hat OpenShift Container Platform 4.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2483181  (CVE-2026-46579) CVE-2026-46579 openshift/router: openshift/router: mTLS client certificate spoofing via unstripped X-SSL-Client headers on HTTP frontend
• Red Hat Customer Portal : CVE-2026-46579 - Red Hat Customer Portal

1. 不適切な認証(CWE-287) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-46579

1. National Vulnerability Database (NVD) : CVE-2026-46579

• [2026年06月09日]
    掲載