CVE-2026-93539
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wykryto podatność w odbiorniku webhook Git we Fleet (usługa gitjob webhook). Gdy sekret webhook nie jest skonfigurowany, przychodzące żądania webhook są akceptowane bez weryfikacji, a przetworzenie żądania może zmienić pole spec.pollingInterval pasującego zasobu GitRepo w dowolnej przestrzeni nazw. Osoba z dostępem sieciowym do usługi webhook i bez poświadczeń Kubernetes może zmienić konfigurację GitRepo poza przestrzeniami nazw, do których jest autoryzowana.
Ocena ryzyka
Nieautoryzowana zmiana konfiguracji GitRepo może prowadzić do zakłócenia działania lub przejęcia kontroli nad zasobami, co może wpłynąć na integralność i dostępność systemu.
Rekomendacja
Zaleca się skonfigurowanie sekretu webhook oraz aktualizację Fleet do wersji 0.16.2 lub nowszej, aby wyeliminować podatność.
Inne podatności w SUSE Rancher Fleet
Zobacz wszystkie- CVE-2026-44935Krytyczne
Brak walidacji referencji 'valuesFrom' w Helm Deployer SUSE Rancher Fleet umożliwia właścicielom jednego dzierżawcy dostęp do poświadczeń fleet innych dzierżawców. Podatność dotyczy wersji 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 oraz 0.12 przed 0.12.15.
- CVE-2026-88808Wysokie
W Rancher Manager zidentyfikowano podatność, w której agent Fleet zapisywał zasoby do klastrów podrzędnych, używając własnych poświadczeń cluster-admin zamiast ServiceAccount przypiętego do wdrożenia. Dotyczy to środowisk wielodostępnych, gdzie różni dzierżawcy współdzielą te same klastry podrzędne, co może prowadzić do nadpisania plików konfiguracyjnych. Problem dotyczy SUSE Rancher Fleet 0.16 przed 0.16.2, 0.15 przed 0.15.7 i 0.14 przed 0.14.11.
- CVE-2026-93540Średnie
Wykryto niezgodność uprawnień w Fleet. Gdy pakiet żąda etykiet lub adnotacji przestrzeni nazw przez opcje namespaceLabels i namespaceAnnotations, aktualizacja metadanych przestrzeni nazw nie podlegała tej samej autoryzacji co reszta wdrożenia pakietu. W rezultacie pakiet mógł zmieniać etykiety i adnotacje w docelowej przestrzeni nazw, nawet jeśli tożsamość, do której był przypięty, nie była autoryzowana do modyfikacji tej przestrzeni.
- CVE-2026-93538Wysokie
W SUSE Rancher Fleet odkryto problem autoryzacji między dzierżawcami. Podczas rejestracji klastra inicjowanej przez agenta, etykiety klastra dostarczone przez rejestrującego agenta, w tym etykiety z zastrzeżonej przestrzeni nazw management.cattle.io/, takie jak etykieta nazwy wyświetlanej klastra, były stosowane do wynikowego obiektu Cluster. Ponieważ Fleet rozwiązuje cele GitRepo i Bundle na podstawie tych etykiet, strona mogąca zarejestrować klaster w współdzielonej przestrzeni nazw Fleet workspace może spowodować, że jej klaster spełni reguły targetowania przeznaczone dla innego klastra. Problem dotyczy SUSE Rancher Fleet 0.16 przed 0.16.1, 0.15 przed 0.15.6, 0.14 przed 0.14.10, 0.13 przed 0.13.15, 0.12 przed 0.12.19 i starszych.
- CVE-2026-93537Średnie
Użytkownik, który może dostarczać zawartość pakietu do repozytorium wskazywanego przez zasób GitRepo, na przykład przez dostęp do wypychania zmian w Git lub uprawnienia do tworzenia/modyfikowania GitRepo, może spowodować, że SUSE Rancher Fleet odczyta pliki z systemu plików środowiska przetwarzającego pakiet i dołączy ich zawartość do wygenerowanego zasobu Bundle. Może to ujawnić dane konfiguracyjne lub poświadczenia, do których użytkownik nie ma uprawnień RBAC Kubernetes, w tym poświadczenia rejestru Helm udostępnione zadaniu przetwarzania pakietów, gdy skonfigurowano poświadczenia Helm dla ścieżek.
- CVE-2026-44937Wysokie
Podatność w SUSE Rancher Fleet umożliwia fałszowanie nieuwierzytelnionych żądań webhook, co może być wykorzystane przez zdalnego atakującego do przeprowadzenia ataku typu odmowa usługi (DoS) lub ataku polegającego na obniżeniu wersji (downgrade) na innych repozytoriach w systemie. Problem dotyczy wersji 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 oraz 0.12 przed 0.12.5.
- CVE-2026-44936Średnie
W SUSE Rancher Fleet w wersjach 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 i 0.12 przed 0.12.15 brak filtrowania w czytniku pakietów (bundle reader) powoduje, że gdy pole helmRepoURLRegex nie jest ustawione w zasobie GitRepo, poświadczenia uwierzytelniania Helm (BasicAuth) są przekazywane do dowolnego adresu URL określonego w polu helm.repo pliku fleet.yaml. Umożliwia to atakującym mającym dostęp do repozytoriów git monitorowanych przez Fleet przechwycenie poświadczeń dostępu do Helm.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was discovered in Fleet's Git webhook receiver (the gitjob webhook service). When a webhook secret is not configured, incoming webhook requests are accepted without verification, and processing a request can change the spec.pollingInterval field of a matching GitRepo resource in any namespace. A caller with network access to the webhook service and no Kubernetes credentials can therefore alter GitRepo configuration outside the namespaces they are authorized for. This only affects SUSE Rancher Fleet 0.16 before 0.16.2, older versions are not affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS