The Pulse
Una vulnerabilità di Red Hat AI Gateway può iniettare le chiavi API di un altro tenant
Una falla nell’autorizzazione del gateway per l’erogazione dei modelli di Red Hat OpenShift AI può consentire a un utente autenticato di avviare richieste con le credenziali presso il fornitore di un altro tenant. Red Hat classifica la vuln
AI.info Team · Scritto con l’IA · verificato ·
Un nome di modello supera il confine tra tenant
La cronologia della vulnerabilità di Glexia registra un evento alla fonte Red Hat contrassegnato come «Reso pubblico» il 27 ottobre 2026; la voce CVE è stata pubblicata il 28 ottobre. La falla riguarda ai-gateway-payload-processing, un componente utilizzato negli ambienti multi-tenant di Red Hat OpenShift AI. Un utente con credenziali valide può inviare una richiesta che indica nel corpo o nell’header il modello di un altro tenant. Il componente recupera le credenziali da un archivio condiviso senza verificare se il richiedente possa usare quel modello, quindi inietta nella richiesta le chiavi API dell’altro tenant.
Secondo l’avviso, le richieste così generate possono utilizzare le risorse di modelli linguistici di grandi dimensioni e la quota di un altro progetto. Non si tratta di un attacco dimostrato che consenta semplicemente di leggere o scaricare le chiavi archiviate: Red Hat descrive l’iniezione delle credenziali nelle richieste al gateway, che consente l’uso non autorizzato di un account presso il fornitore. La falla mette quindi a rischio sia l’accesso al servizio sia i limiti di consumo del tenant interessato.
Red Hat la classifica come Importante, con un punteggio di 9,1
Red Hat classifica la vulnerabilità come «Importante», assegnandole al tempo stesso un punteggio base CVSS 3.1 preliminare di 9,1. Il punteggio riflette la raggiungibilità tramite rete, la bassa complessità dell’attacco, i privilegi ridotti richiesti e l’elevato impatto sulla riservatezza; Red Hat avverte che le metriche restano soggette a revisione. La sua spiegazione precisa che il problema richiede credenziali utente valide per interagire con il gateway di erogazione dei modelli: l’avviso non descrive quindi un attaccante non autenticato che possa sfruttarlo senza credenziali.
La differenza tra la classificazione e il punteggio numerico è importante per chi esamina gli avvisi. Red Hat afferma che i punteggi possono variare da un fornitore all’altro, perché la versione del prodotto, la build e la piattaforma influiscono sul modo in cui una falla si manifesta. La classificazione descrittiva dell’avviso è «Importante» e non dovrebbe essere sostituita senza segnalarlo con l’etichetta di gravità di un altro fornitore.
Il selettore è cambiato, ma la lacuna nell’autorizzazione è rimasta
La spiegazione tecnica di Red Hat registra una modifica al meccanismo vulnerabile. La precedente ricerca basata sul percorso è stata rimossa, ma l’implementazione rivista continua a scegliere le credenziali usando un nome di modello fornito dal client, nel corpo della richiesta o nell’header x-gateway-model-name. La spiegazione del punteggio CVSS v3 di Red Hat afferma:
«La ricerca basata sul percorso (segments/) descritta inizialmente è stata rimossa nel commit bac9fb5, ma ora la selezione delle credenziali si basa esclusivamente sul campo del modello nel corpo della richiesta fornito dal client / sull’header x-gateway-model-name, tramite una mappa piatta dei nomi dei modelli estesa all’intero cluster, ancora senza alcun controllo dell’identità all’interno del processo.»
L’avviso afferma che i controlli di autorizzazione e sottoscrizione del gateway ricavano l’identità del modello dal percorso dell’URL, mentre l’iniezione delle credenziali usa il valore distinto contenuto nel corpo o nell’header. Questa discrepanza consente a chi effettua una richiesta ed è autenticato per il percorso del proprio tenant di specificare il nome del modello di un altro tenant. Red Hat afferma che il punteggio è stato rivalutato il 27 ottobre, dopo aver confermato che il meccanismo modificato rimaneva vulnerabile.
Cosa devono sapere gli operatori di OpenShift AI dall’avviso
La vulnerabilità resa nota riguarda l’autorizzazione tra tenant all’interno del gateway di erogazione dei modelli, non una falla generale presente in ogni prodotto Red Hat AI. La dichiarazione di Red Hat descrive specificamente un ambiente OpenShift AI multi-tenant e afferma che l’attaccante ha bisogno di credenziali valide per il gateway. L’avviso identifica il problema come CWE-639, un aggiramento dell’autorizzazione tramite una chiave controllata dall’utente.
Per gli operatori, la questione pratica è se un utente autorizzato per un tenant possa fare in modo che le richieste utilizzino le credenziali presso il fornitore di un altro tenant. I team dovrebbero consultare la voce CVE aggiornata per informazioni sui prodotti interessati e sulle correzioni, anziché presumere che il precedente comportamento del componente basato sul percorso ne descriva lo stato attuale.