OpenShift 4.14.76 y 4.15.70 corrigen doce CVE del kernel y Go
Red Hat publicó dos erratas Important para OpenShift 4.14.76 y 4.15.70: reúnen doce CVE entre el kernel Linux y bibliotecas estándar de Go, con imágenes y paquetes distribuidos según cada rama.
Red Hat publicó el 22 de octubre dos avisos de seguridad para OpenShift Container Platform: 4.14.76 corrige cuatro fallos del kernel y 4.15.70 incluye ocho correcciones en bibliotecas estándar de Go. Son doce CVE repartidas entre dos ramas; ambos avisos califican el impacto como Important. No es un único parche común: cambia tanto la versión objetivo como la superficie técnica afectada.
La separación de erratas también importa al preparar la actualización. El aviso RHSA-2026:82782 cubre las imágenes de 4.14.76 y remite a otra errata para sus paquetes RPM; RHSA-2026:82810 cubre los paquetes RPM de 4.15.70 y señala un aviso complementario para sus imágenes. Red Hat aconseja consumir los paquetes e imágenes desde el canal de release correspondiente, así que conviene comprobar qué contenido está disponible para la versión instalada antes de abrir la ventana de mantenimiento.
-InfraCrew dice: El boletín cabe en dos enlaces; el payload, según la rama y el canal, puede llegar en más de una pieza.-
Cuatro cambios en el kernel de 4.14.76
Las correcciones de 4.14.76 tocan rutas de red del kernel Linux: PPPoE, SCTP, la validación de cabeceras de enrutamiento para IPsec sobre IPv6 y el margen de recepción de TUN. Red Hat enumera CVE-2026-68121, CVE-2026-74469, CVE-2026-80844 y CVE-2026-81000. El resumen del aviso no dice que todos los clústeres expongan esas rutas del mismo modo, así que el listado identifica componentes corregidos, no una prueba de explotación en cada topología.
El aviso de 4.14.76 agrupa imágenes de contenedor; los paquetes RPM de esa versión aparecen en RHBA-2026:82781, el aviso enlazado por Red Hat. Esa distinción evita dar por aplicada la corrección al ver solo un artefacto: el administrador debe confirmar que el mecanismo de actualización de su clúster ha consumido la imagen y los paquetes que correspondan al canal instalado.
-InfraCrew dice: “Actualizado” es un estado del clúster, no el color tranquilizador de una errata que acabamos de leer.-
Ocho correcciones de Go en 4.15.70
En la rama 4.15, el aviso cubre problemas de la biblioteca estándar de Go en ASN.1, correo, MIME, HTTP/2, plantillas HTML, XML, resolución de URL y TLS. La mayoría se describen como denegación de servicio por recursión o procesamiento costoso de entradas; CVE-2026-56858 corresponde a XSS en html/template. El aviso menciona además que CVE-2026-56853 afecta conexiones HTTP/2 sin cifrar y CVE-2026-56862 el procesamiento de mensajes KeyUpdate en TLS.
Esto no convierte automáticamente cualquier interfaz expuesta por Kubernetes en un punto vulnerable a esos casos. La exposición depende del código que use cada biblioteca y de cómo le lleguen los datos; los títulos de los CVE señalan superficies de análisis concretas, pero los avisos no atribuyen la misma ruta de entrada a cada componente de OpenShift. Tampoco indican explotación activa. Por eso la clasificación Important justifica priorizar la evaluación y el parcheo, mientras que el inventario real del clúster determina la urgencia práctica.
-InfraCrew dice: Una biblioteca compartida puede esconder una superficie muy concreta; “es Go” no sustituye a mirar qué componente procesa ese dato.-
Red Hat recomienda actualizar paquetes e imágenes de 4.15 cuando estén disponibles en su canal de release. El aviso indica comprobar la disponibilidad con oc o la consola web y remite a la documentación de actualización de clústeres. La comprobación útil es por versión y canal: confirmar el payload publicado para la rama instalada y seguir la ruta documentada antes de ejecutar el cambio. Los avisos cubren correcciones de seguridad y errores del release; no prometen una ventana sin impacto ni una ganancia de rendimiento.
Diccionario de la Crew
Errata — Aviso de un proveedor que agrupa correcciones para una versión de producto.
RHSA — Red Hat Security Advisory, aviso de seguridad de Red Hat.
RHBA — Red Hat Bug Fix Advisory, aviso de corrección de errores de Red Hat.
RPM — Formato de paquete de software utilizado por Red Hat y distribuciones compatibles.
CVE — Identificador único usado para referirse a una vulnerabilidad conocida.
Kernel — Núcleo del sistema operativo que gestiona recursos y operaciones de bajo nivel.
PPPoE — Encapsulación de PPP sobre Ethernet, usada habitualmente en ciertos accesos de banda ancha.
SCTP — Protocolo de transporte orientado a mensajes que admite varias rutas y asociaciones.
IPsec — Conjunto de protocolos para proteger comunicaciones a nivel de red.
IPv6 — Versión 6 del protocolo de Internet.
TUN — Interfaz de red virtual de capa 3 usada por software para intercambiar paquetes.
ASN.1 — Notación y formato de codificación usados en estructuras de datos, entre ellas certificados.
MIME — Convenciones para representar contenido y adjuntos en mensajes de correo.
HTTP/2 — Segunda versión principal del protocolo HTTP.
XSS — Cross-site scripting: ejecución de contenido activo no deseado en un contexto web.
TLS — Transport Layer Security, protocolo para proteger conexiones de red.
KeyUpdate — Mensaje TLS que actualiza claves de tráfico durante una conexión.
