SUSE Rancherに重大な権限昇格の脆弱性が見つかりました。低権限の認証済みユーザーであっても、Rancher管理プレーンおよびそれが管理する全てのダウンストリームKubernetesクラスターに対する管理者権限を取得できる可能性があります。
Hacking& Cracking
この問題はCVE-2026-44945およびGHSA-v584-7w32-jwpqとして追跡されており、Rancherのリリース2.11.0から2.11.15、2.12.0から2.12.11、2.13.0から2.13.7、および2.14.0から2.14.1に影響します。
Rancherはバージョン2.11.16、2.12.12、2.13.8、2.14.4で修正版をリリースしました。アドバイザリではこの脆弱性を「Critical(重大)」と評価しており、CVSS v3.1スコアは9.1です。
Rancherの重大な脆弱性
この欠陥はRancherのなりすまし(impersonation)ミドルウェアに存在し、具体的にはpkg/auth/requests/impersonate.goにあるリクエスト処理部分に見られます。
この脆弱性は「confused deputy(混乱した代理人)」問題を示すCWE-441に分類される、クロスクラスター認可の欠陥です。要するに、Rancherはあるなりすましリクエストが認可されているかを一つのKubernetesクラスターでチェックする一方で、実際には別のクラスター、すなわちローカルのRancher管理クラスターに対してそのリクエストを実行してしまいます。
Rancherはリクエストのurlからクラスター識別子を抽出し、それを使って参照先のダウンストリームクラスターに対してKubernetesのSubjectAccessReview(SAR)を実行します。
しかし、その後管理APIはscaledContextサービスアカウントを用いてローカルの管理クラスター経由でリクエストを処理します。Impersonate-User、Impersonate-Group、Impersonate-Extraといったなりすましヘッダーは、Normanプロキシストアによって変更されることなくローカルのKubernetes APIへそのまま転送されます。
この認可処理と実行処理の分離が、権限昇格の経路を生み出しています。登録済みのいずれかのダウンストリームクラスターに対するRBAC権限を持つ攻撃者は、そのクラスター内でsystem:mastersのような特権を持つアイデンティティになりすますリクエストを細工できます。
その後Rancherはこのなりすましコンテキストをローカルクラスターに転送し、そこで特権リクエストが実行されてしまいます。結果として攻撃者は、SARチェックを通過させるために使ったダウンストリームクラスターでの単なる権限昇格にとどまらず、Rancher自体の管理者権限を手に入れることになります。
この脆弱性の悪用には、有効なRancherセッションと、少なくとも一つのダウンストリームクラスターに対するRBAC権限が必要です。注目すべき点として、アドバイザリによれば、Rancherのデフォルトのユーザーグローバルロールを割り当てられたユーザーであれば、個人が管理するクラスターをインポートできるとされています。
使い捨てのk3d、kind、あるいはminikubeによるデプロイメントで十分であり、つまり攻撃者は本番クラスターへの事前アクセスも、昇格されたRancherロールも、ユーザーの操作介入も必要としません。
この脆弱性が悪用されると、kubeconfigファイル、認証プロバイダーの認証情報、LDAPバインドパスワード、OIDCクライアントシークレット、SAML署名鍵などを含むRancherの全シークレットが露出する可能性があります。
さらに攻撃者はGlobalRoleBindingsを新規作成または改変することも可能で、影響を受けたRancherインスタンスが管理する全クラスターにわたって永続的な支配を確立できてしまいます。
今回のパッチでは、ローカル管理クラスター向けに固定されたクライアントを使用し、SARベースのなりすましチェックを強制するようになりました。また、ミドルウェアがクライアント側から送られてきたなりすましヘッダーに依存するのではなく、リクエストコンテキストから認証済みアイデンティティを取得するように修正されています。
各組織は直ちにアップグレードを行う必要があります。パッチ適用が遅れる場合、管理者はダウンストリームクラスターを登録できるユーザーを監査・制限すべきです。
ただし、Rancherはこれがあくまでリスクの低減にとどまり、完全な緩和策ではないと注意を促しています。セキュリティ研究者のBenTheCyberOne氏が、世界中に公開されているRancherデプロイメントに関するこの脆弱性を報告しました。
新種のフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
Antivirus& Malware
翻訳元: https://gbhackers.com/critical-rancher-flaw/
