PT-2026-38359 · Suse · Rancher+1
Publicado
2026-05-07
·
Atualizado
2026-06-07
·
CVE-2026-41050
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Rancher versões anteriores a v2.14.1
Rancher versões anteriores a v2.13.5
Rancher versões anteriores a v2.12.9
Rancher versões anteriores a v2.11.13
Rancher versão v2.10.11
Descrição
O implantador Helm do Fleet não aplica totalmente a personificação de ServiceAccount em dois caminhos de código, permitindo que um locatário com acesso de push git a um repositório monitorado pelo Fleet leia segredos de qualquer namespace em cada cluster downstream visado por seu
GitRepo. Isso ocorre por meio de um bypass de lookup do Helm, onde o mecanismo de template executa consultas à API do Kubernetes usando as credenciais de cluster-admin do fleet-agent em vez da ServiceAccount personificada, e um bypass de valuesFrom, onde referências de Secret e ConfigMap em fleet.yaml helm.valuesFrom são lidas usando o cliente cluster-admin do fleet-agent. Esses problemas quebram a fronteira de personificação multi-tenant, expondo potencialmente credenciais de serviços externos.Recomendações
Atualizar para a versão v2.14.1.
Atualizar para a versão v2.13.5.
Atualizar para a versão v2.12.9.
Atualizar para a versão v2.11.13.
Atualizar manualmente a implantação do Fleet para a versão v0.11.13.
Restringir o acesso de push git a repositórios monitorados pelo Fleet apenas a usuários confiáveis.
Usar recursos
GitRepoRestriction para limitar quais ServiceAccounts cada namespace tem permissão para usar.
Auditar templates de charts implantados em busca de chamadas lookup e arquivos fleet.yaml em busca de referências valuesFrom entre namespaces.
Revisar credenciais potencialmente vazadas e alterá-las, se necessário.Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fleet
Rancher