Red Hat vừa phát đi thông báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trong OpenShift GitOps, cho phép các quản trị viên cấp thấp leo thang đặc quyền để chiếm quyền kiểm soát tuyệt đối hệ thống. Với mã định danh CVE-2025-13888 và điểm số nguy hiểm lên tới 9.1, lỗ hổng này đang đặt các doanh nghiệp sử dụng nền tảng Kubernetes của Red Hat vào tình trạng báo động đỏ.

Từ quản trị viên vùng hẹp đến quyền kiểm soát tối thượng

Lỗ hổng CVE-2025-13888 bắt nguồn từ sai sót trong cách OpenShift GitOps xử lý quyền hạn đối với các ArgoCD Custom Resources. Trong một thiết lập tiêu chuẩn, quản trị viên cấp namespace chỉ có quyền quản lý tài nguyên trong phạm vi hẹp được chỉ định.

Tuy nhiên, lỗi kỹ thuật này đã mở ra một lỗ hổng nguy hiểm: kẻ tấn công có thể tạo ra các Custom Resource đặc biệt nhằm đánh lừa hệ thống, từ đó giành lấy quyền hạn cao cấp ở các namespace khác. Khi đã có trong tay những đặc quyền này, tin tặc dễ dàng triển khai privileged workloads trực tiếp trên các controller nodes. Kết quả cuối cùng là chiếm quyền truy cập Root trên toàn bộ cụm máy chủ, cho phép chúng vượt qua mọi rào cản bảo mật, đánh cắp dữ liệu nhạy cảm hoặc đánh sập toàn bộ hạ tầng.

Mối đe dọa từ bên trong và yêu cầu xác thực

Dù Red Hat đánh giá vector tấn công qua Network, nhưng điểm mấu chốt là kẻ tấn công phải sở hữu thông tin đăng nhập hợp lệ của quản trị viên namespace. Điều này đồng nghĩa với việc mối đe dọa không đến từ những kẻ xâm nhập vô danh bên ngoài, mà chủ yếu từ các mối đe dọa nội bộ hoặc những tài khoản quản trị đã bị thỏa hiệp từ trước.

Chính vì yêu cầu xác thực này, Red Hat xếp hạng mức độ nghiêm trọng là Important. Tuy nhiên, đối với những môi trường mà các quản trị viên namespace không được tin tưởng tuyệt đối, tác động kỹ thuật của lỗ hổng này thực sự là một thảm họa.

Hành động khẩn cấp cho doanh nghiệp

Nhóm phát triển Red Hat đã nhanh chóng phát hành các bản cập nhật bảo mật để vá lỗ hổng này trên các phiên bản được hỗ trợ. Các tổ chức đang vận hành OpenShift GitOps phiên bản 1.16, 1.17 hoặc 1.18 được khuyến cáo phải áp dụng bản vá ngay lập tức.

Bên cạnh việc cập nhật phần mềm, các đội ngũ bảo mật nên thực hiện các bước sau:

• Kiểm toán lại toàn bộ cấu hình cụm máy chủ.
• Rà soát nghiêm ngặt danh sách người dùng có quyền quản trị namespace.
• Tuân thủ nguyên tắc đặc quyền tối thiểu (Least Privilege) và giám sát chặt chẽ các hành vi bất thường của tài khoản quản trị.