Rancher Managerに認証情報漏えいの脆弱性、修正版あり
SUSE Rancher Managerのmeta proxyに、Rancherの認証情報がクラウド事業者のホストへ漏れる脆弱性が公表されました。Rancherを運用している組織は、版を確認して修正版へ更新し、認証情報の再発行も検討してください。
急ぎ度: 早めに
CVSS v3は9.1で、認証不要のネットワーク経由と評価されており、修正版も出ているため、早めに更新する価値があります。
関係があるか
SUSE Rancher Managerを自社で運用し、Kubernetesクラスターやクラウドアカウントを管理している組織が対象です。公表された版は4つの系列にまたがります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SUSE Rancher 2.15系 | 2.15.0から2.15.3まで | 修正版の版番号はベンダーの告知で確認してください |
| SUSE Rancher 2.14系 | 2.14.0から2.14.7まで | 修正版の版番号はベンダーの告知で確認してください |
| SUSE Rancher 2.13系 | 2.13.0から2.13.11まで | 修正版の版番号はベンダーの告知で確認してください |
| SUSE Rancher 2.11系 | 影響する範囲はベンダーの告知で確認してください | 2.11.19 |
確かめ方
- 1Rancherの管理画面で現在の版を確認し、上の表の系列と範囲に入るかを見ます。
- 2管理画面を開かずに調べるなら、Rancherのコンテナイメージのタグで版が分かります。
- 3上の表に載っていない系列を使っている場合も、ベンダーの告知で影響の有無を確認してください。
何が起きたか
SUSE Rancher Managerのmeta proxyで、外部へ渡してはいけない情報を取り除くフィルタリングが足りていません。そのため、Rancherの認証情報がクラウド事業者のホストへ送られてしまうおそれがあります。
meta proxyは、名称からすると、Rancherがクラウド事業者への問い合わせを中継する機能とみられます。中継の際にRancher自身の認証情報まで付いたまま外へ出てしまう、というのが脆弱性の中身です。弱点の分類はCWE-201（送信データへの機微情報の挿入）で、2026年11月2日に公表されました。
攻撃の流れ
-
1
中継機能の利用
Rancher Managerのmeta proxyが、クラウド事業者宛ての要求を中継します。
-
2
除去の漏れ
本来は取り除くべきRancherの認証情報が、要求に付いたまま残ります。
-
3
外部ホストへ送信
認証情報がクラウド事業者のホストに届き、Rancherの管理下から出てしまいます。
-
4
悪用のおそれ
渡った認証情報が悪用されると、Rancherへの不正な操作につながるおそれがあります。
どう悪用されるか
評価上の条件は、ネットワーク経由で届き、事前の認証が要らず、利用者の操作も要らず、特別な環境条件も要らないというものです。攻撃の難易度は低いと見られています。
被害は、機密性と完全性への影響が大きく、可用性への影響は小さいと評価されています。Rancherの認証情報が外に出ると、その権限の範囲で情報を読まれたり、設定を書き換えられたりするおそれがあります。ただし、漏れた先で実際に悪用されるかどうかは、渡った先と認証情報の権限しだいです。
今すぐやること
-
1
Rancherの版を確認する
運用中のRancher Managerの版を洗い出し、2.15系、2.14系、2.13系、2.11系のどれに当たるかを確認します。複数の環境がある場合は、検証用も含めて一覧にします。
kubectl -n cattle-system get deploy rancher -o jsonpath='{.spec.template.spec.containers[0].image}' -
2
修正版に更新する
ベンダーの告知で各系列の修正版を確認し、該当する環境から更新します。すぐに更新できない場合の回避策がないかも、同じ告知で確認してください。外部に公開している環境を先にするのが無難です。
-
3
認証情報の再発行を検討する
更新したあとも、すでに外へ出た認証情報は有効なままです。Rancherが使う認証情報と、Rancher経由でクラウドに渡している認証情報について、再発行の対象と範囲をベンダーの告知を見ながら決めます。
-
4
外向きの通信と操作履歴を見直す
Rancherからクラウド事業者宛ての通信ログと、Rancherの監査ログに、身に覚えのない操作や接続元がないかを確認します。
背景
Rancher Managerは、複数のKubernetesクラスターを一か所から管理する基盤です。下流のクラスターへの接続情報やクラウドアカウントの認証情報を預かるため、ここから認証情報が外に出ると、影響はRancher単体にとどまらず、管理下の環境全体に及びえます。
今回の脆弱性は、プロキシが中継のときに不要な資格情報を取り除かない、という種類のものです。プロキシや中継機能は、送る先を限り、送る中身を絞ってはじめて安全になります。Rancherは4つの系列に修正が出ているので、古い系列のまま運用している環境ほど、版の洗い出しから始める必要があります。
よくある質問
Q.Rancherを社内ネットワークからしか使っていなければ、急がなくてもよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| SUSE | Rancher |
2.15.0 以上 2.15.3 未満 2.14.0 以上 2.14.7 未満 2.13.0 以上 2.13.11 未満 2.12.0 以上 2.12.15 未満 2.11.0 以上 2.11.19 未満 |
2.15.3 2.14.7 2.13.11 2.12.15 2.11.19 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing filtering in the SUSE Rancher Manager meta proxy could cause passed in rancher credentials to be leaked to cloud providers. This affects SUSE Rancher 2.15.0 up to 2.15.3, 2.14.0 up to 2.14.7, 2.13.0 up to 2.13.11,
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web meissner@suse.de