CVE-2023-22648
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność w SUSE Rancher związana z nieprawidłowym zarządzaniem uprawnieniami powoduje, że zmiany uprawnień w Azure AD nie są odzwierciedlane dla zalogowanych użytkowników w interfejsie Rancher. Użytkownicy zachowują poprzednie uprawnienia, nawet po zmianie grupy lub usunięciu z grupy w Azure AD. Dotyczy Rancher od 2.6.7 do < 2.6.13 oraz od 2.7.0 do < 2.7.4.
Ocena ryzyka
Użytkownicy mogą zachować dostęp do Rancher mimo odebrania uprawnień w Azure AD, co stanowi ryzyko naruszenia kontroli dostępu. Może prowadzić do nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaktualizuj Rancher do wersji 2.6.13 lub nowszej albo 2.7.4 lub nowszej.
Inne podatności w SUSE Rancher
Zobacz wszystkie- CVE-2026-88804Krytyczne
W SUSE Rancher (wersje 2.15 przed 2.15.2, 2.14 przed 2.14.6, 2.13 przed 2.13.10, 2.12 przed 2.12.14, 2.11 przed 2.11.18) nieuwierzytelniona aktualizacja publicznych ustawień UI może być wykorzystana przez zdalnych atakujących do przeprowadzenia ataku typu stored cross-site scripting (XSS) w interfejsie Rancher.
- CVE-2023-22647Krytyczne
Podatność w zarządzaniu uprawnieniami w SUSE Rancher pozwalała standardowym użytkownikom wykorzystać istniejące uprawnienia do manipulowania sekretami Kubernetes w klastrze lokalnym, powodując usunięcie sekretu przy zachowaniu uprawnień do jego odczytu. W połączeniu z innymi specjalnie spreparowanymi poleceniami mogło to umożliwić użytkownikowi uzyskanie dostępu do tokenów kont usług w klastrze lokalnym. Problem dotyczy Rancher >= 2.6.0 < 2.6.13 oraz >= 2.7.0 < 2.7.4.
- CVE-2026-88805Wysokie
W SUSE Rancher 2.15 przed 2.15.2 występuje podatność polegająca na nieprawidłowym czyszczeniu poświadczeń podczas wylogowania. Zdalny atakujący może zachować poświadczenia dostępu nawet po wylogowaniu konta, co może prowadzić do nieautoryzowanego dostępu do systemu.
- CVE-2022-43760Wysokie
W SUSE Rancher występuje podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych), która pozwala użytkownikom z niektórych grup o wyższych uprawnieniach wstrzykiwać kod wykonywany w przeglądarce innego użytkownika. Może to umożliwić kradzież poufnych informacji, manipulację treścią lub inne złośliwe działania w imieniu ofiary, w tym działania jako administrator po otwarciu przez niego zainfekowanej strony. Podatność dotyczy Rancher od >= 2.6.0 przed < 2.6.13 oraz od >= 2.7.0 przed < 2.7.4.
Oryginalny opis (angielski, źródło NVD)
A Improper Privilege Management vulnerability in SUSE Rancher causes permission changes in Azure AD not to be reflected to users while they are logged in the Rancher UI. This would cause the users to retain their previous permissions in Rancher, even if they change groups on Azure AD, for example, to a lower privileged group, or are removed from a group, thus retaining their access to Rancher instead of losing it. This issue affects Rancher: from >= 2.6.7 before < 2.6.13, from >= 2.7.0 before < 2.7.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS