CVE-2026-44945
KrytyczneCVSS 9.1Streszczenie
Podatność na eskalację uprawnień istnieje w oprogramowaniu pośredniczącym impersonacji Rancher (pkg/auth/requests/impersonate.go). Uwierzytelniony użytkownik Rancher z domyślną globalną rolą użytkownika może uzyskać pełny dostęp administracyjny do płaszczyzny sterowania Rancher, a pośrednio do wszystkich zarządzanych klastrów podrzędnych. Problem dotyczy Rancher: od 2.11.0 przed 2.11.16, od 2.12.0 przed 2.12.12, od 2.13.0 przed 2.13.8 i od 2.14.0 przed 2.14.2.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może przejąć pełną kontrolę nad platformą Rancher i wszystkimi klastrami, co stanowi poważne zagrożenie dla bezpieczeństwa całego środowiska.
Rekomendacja
Zaleca się natychmiastową aktualizację Rancher do wersji 2.11.16, 2.12.12, 2.13.8 lub 2.14.2, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
A privilege escalation vulnerability exists in Rancher's impersonation middleware (pkg/auth/requests/impersonate.go). An authenticated Rancher user with the default user global role can gain full administrative access to the Rancher control plane and transitively to all downstream clusters it manages. This issue affects Rancher: from 2.11.0 before 2.11.16, from 2.12.0 before 2.12.12, from 2.13.0 before 2.13.8, and from 2.14.0 before 2.14.2.