Rancher Fleetで権限昇格の脆弱性、修正版あり
Rancher Fleetに、一般ユーザーが管理用クラスターの管理者権限を得られる脆弱性が公表されました。複数チームでRancherを共用している組織は、Fleetの版を確認して修正版へ更新してください。
急ぎ度: 早めに
CVSS v3は9.1で深刻度はcriticalですが、悪用には認証が必要で、修正版も出ているため、共用環境から順に早めの更新を勧めます。
関係があるか
Rancherを使い、開発チームや部門ごとにnamespaceの管理を任せている組織が対象です。管理者だけが操作する環境では、影響は小さくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SUSE Rancher Fleet 0.16系 | 0.16.0から0.16.3まで | 修正版の番号はベンダーの告知で確認してください |
| SUSE Rancher Fleet 0.15系 | 0.15.0から0.15.8まで | 修正版の番号はベンダーの告知で確認してください |
| SUSE Rancher Fleet 0.14系 | 0.14.0から0.14.12まで | 修正版の番号はベンダーの告知で確認してください |
| SUSE Rancher Fleet 0.13系 | 0.13.0から0.13.17まで | 0.13.17と記録されています。ただし影響範囲にも同じ番号が含まれるため、告知で確認してください |
確かめ方
- 1管理用クラスター（localクラスター）でFleetコントローラーのイメージの版を調べ、上の範囲に入るか照らし合わせます。
- 2一般ユーザーやチームにFleetのClusterオブジェクトを作る権限を渡しているか、RBACの設定を確認します。
- 3Fleetを単体で導入している場合も、版が範囲に入るなら対象として扱います。
何が起きたか
Rancherに同梱されるFleetに、権限昇格の脆弱性が見つかりました。一般のユーザーが、Rancher自体が動く管理用クラスターで管理者相当の権限を得られる可能性があります。
Fleetは、配布先のクラスターにエージェントを入れて管理するために、kubeconfigを収めたシークレットを参照します。コントローラーは、FleetのClusterオブジェクトがどのシークレットを参照してよいかを十分に制限していませんでした。
その結果、一般ユーザーが管理するnamespaceに作ったClusterオブジェクトを、管理用クラスターそのものの管理者向け認証情報と結び付けられます。コントローラーはそのユーザーに代わって管理用クラスターを管理し、ユーザーのFleetコンテンツを高い権限で実行します。脆弱性は2026年11月2日に公表されました。
攻撃の流れ
-
1
権限の入手
自分が管理するnamespaceを持つ一般ユーザーとしてログインする。
-
2
Cluster作成
そのnamespaceにFleetのClusterオブジェクトを定義する。
-
3
認証情報を指定
管理用クラスターの管理者向けシークレットを参照させるが、コントローラーは拒否しない。
-
4
高権限で実行
コントローラーが管理用クラスターを管理対象とし、ユーザーのFleetコンテンツを高い権限で動かす。
どう悪用されるか
ネットワーク経由で悪用でき、利用者の操作は要りません。必要なのは、自分が制御するnamespaceにFleetのClusterオブジェクトを定義できる認証済みのアカウントです。CVSSのベクターでは必要な権限が高めに評価されていますが、説明では一般ユーザーが対象とされています。実際の危険度は、Rancherの利用者にどこまで権限を渡しているかで変わります。
悪用に成功すると、管理用クラスターで管理者相当の権限が使われます。機密性、完全性、可用性への影響はいずれも高く、影響が元の権限の範囲を超えるため、CVSS v3は9.1になっています。
今すぐやること
-
1
Fleetの版を確認する
管理用クラスターで、Fleetコントローラーのイメージの版を調べます。Rancherのバージョンではなく、Fleetの版で判断してください。
kubectl -n cattle-fleet-system get deploy fleet-controller -o jsonpath='{.spec.template.spec.containers[*].image}' -
2
修正版に更新する
使っている系統の修正版へ更新します。0.13系は、記録された修正版の番号と影響範囲が重なるため、ベンダーの告知で正しい番号を確かめてから適用してください。共用環境や、外部のチームに権限を渡している環境から先に進めます。
-
3
既存のClusterオブジェクトを点検する
各namespaceのFleet Clusterを一覧し、身に覚えのないものや、管理用クラスターの認証情報を参照しているものがないかを調べます。
kubectl get clusters.fleet.cattle.io -A -
4
権限の渡し方を見直す
Fleet Clusterを作れる利用者を、本当に必要な人に絞ります。あわせて、管理用クラスターに予期しないBundleや権限の変更がないか、監査ログで確認してください。
すぐ更新できないとき
すぐに更新できない間は、一般ユーザーにFleetのClusterオブジェクトを作成・変更する権限を渡さないようにします。RBACで絞るのが当面のつなぎです。恒久策ではないため、公式の回避策の有無はベンダーの告知で確認し、修正版の適用を予定してください。
背景
Fleetは、Rancherに組み込まれたGitOps型の継続的デリバリーの仕組みです。Gitのリポジトリの内容を、Rancherが管理する複数のクラスターへ配布します。配布の起点になるのがRancher自体が動く管理用クラスターで、各クラスターへ届く認証情報もここに集まります。
Fleetは、配布先ごとに保管されたkubeconfigを使ってエージェントを入れます。今回の脆弱性は、どの認証情報を誰が指定してよいかという線引きが甘かったために、管理用クラスター自身の認証情報まで指定できた点にあります。チームごとにnamespaceを分けて運用する環境ほど、その境界が守られているかが問われます。
よくある質問
Q.Rancherを使っているのが管理者数名だけの環境でも、更新は必要ですか。
Q.更新したあと、すでに悪用されていないかを調べる必要はありますか。
まだ分かっていないこと
- 0.13系より古い版が影響を受けるかどうかは、確定していません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| SUSE | Rancher |
0.16.0 以上 0.16.3 未満 0.15.0 以上 0.15.8 未満 0.14.0 以上 0.14.12 未満 0.13.0 以上 0.13.17 未満 |
0.16.3 0.15.8 0.14.12 0.13.17 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SUSE Rancher Fleet clusters reference a kubeconfig secret that the controller uses to install and manage a Fleet agent on the target cluster. The controller did not sufficiently restrict which kubeconfig secrets a Fleet Cluster object was allowed to reference. As a result, a Fleet cluster defined in a namespace an ordinary user controls could be associated with administrative credentials for the management cluster itself, causing the controller to manage the management cluster on that user's behalf and to run that user's Fleet content there with elevated privileges. This affects SUSE Rancher Fleet 0.16.0 up to 0.16.3, 0.15.0 up to 0.15.8, 0.14.0 up to 0.14.12, 0.13.0 up to 0.13.17 and possible older versions.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- advisory github.com