CVE-2026-93540
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wykryto niezgodność uprawnień w Fleet. Gdy pakiet żąda etykiet lub adnotacji przestrzeni nazw przez opcje namespaceLabels i namespaceAnnotations, aktualizacja metadanych przestrzeni nazw nie podlegała tej samej autoryzacji co reszta wdrożenia pakietu. W rezultacie pakiet mógł zmieniać etykiety i adnotacje w docelowej przestrzeni nazw, nawet jeśli tożsamość, do której był przypięty, nie była autoryzowana do modyfikacji tej przestrzeni.
Ocena ryzyka
Nieautoryzowana modyfikacja metadanych przestrzeni nazw może prowadzić do naruszenia integralności konfiguracji i potencjalnie do eskalacji uprawnień w klastrze.
Rekomendacja
Zaleca się aktualizację Fleet do wersji 0.16.2, 0.15.7, 0.14.11 lub 0.13.16 w zależności od używanej linii, oraz przegląd uprawnień przypiętych tożsamości.
Inne podatności w SUSE Rancher Fleet
Zobacz wszystkie- CVE-2026-44935Krytyczne
Brak walidacji referencji 'valuesFrom' w Helm Deployer SUSE Rancher Fleet umożliwia właścicielom jednego dzierżawcy dostęp do poświadczeń fleet innych dzierżawców. Podatność dotyczy wersji 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 oraz 0.12 przed 0.12.15.
- CVE-2026-88808Wysokie
W Rancher Manager zidentyfikowano podatność, w której agent Fleet zapisywał zasoby do klastrów podrzędnych, używając własnych poświadczeń cluster-admin zamiast ServiceAccount przypiętego do wdrożenia. Dotyczy to środowisk wielodostępnych, gdzie różni dzierżawcy współdzielą te same klastry podrzędne, co może prowadzić do nadpisania plików konfiguracyjnych. Problem dotyczy SUSE Rancher Fleet 0.16 przed 0.16.2, 0.15 przed 0.15.7 i 0.14 przed 0.14.11.
- CVE-2026-93539Średnie
Wykryto podatność w odbiorniku webhook Git we Fleet (usługa gitjob webhook). Gdy sekret webhook nie jest skonfigurowany, przychodzące żądania webhook są akceptowane bez weryfikacji, a przetworzenie żądania może zmienić pole spec.pollingInterval pasującego zasobu GitRepo w dowolnej przestrzeni nazw. Osoba z dostępem sieciowym do usługi webhook i bez poświadczeń Kubernetes może zmienić konfigurację GitRepo poza przestrzeniami nazw, do których jest autoryzowana.
- CVE-2026-93538Wysokie
W SUSE Rancher Fleet odkryto problem autoryzacji między dzierżawcami. Podczas rejestracji klastra inicjowanej przez agenta, etykiety klastra dostarczone przez rejestrującego agenta, w tym etykiety z zastrzeżonej przestrzeni nazw management.cattle.io/, takie jak etykieta nazwy wyświetlanej klastra, były stosowane do wynikowego obiektu Cluster. Ponieważ Fleet rozwiązuje cele GitRepo i Bundle na podstawie tych etykiet, strona mogąca zarejestrować klaster w współdzielonej przestrzeni nazw Fleet workspace może spowodować, że jej klaster spełni reguły targetowania przeznaczone dla innego klastra. Problem dotyczy SUSE Rancher Fleet 0.16 przed 0.16.1, 0.15 przed 0.15.6, 0.14 przed 0.14.10, 0.13 przed 0.13.15, 0.12 przed 0.12.19 i starszych.
- CVE-2026-93537Średnie
Użytkownik, który może dostarczać zawartość pakietu do repozytorium wskazywanego przez zasób GitRepo, na przykład przez dostęp do wypychania zmian w Git lub uprawnienia do tworzenia/modyfikowania GitRepo, może spowodować, że SUSE Rancher Fleet odczyta pliki z systemu plików środowiska przetwarzającego pakiet i dołączy ich zawartość do wygenerowanego zasobu Bundle. Może to ujawnić dane konfiguracyjne lub poświadczenia, do których użytkownik nie ma uprawnień RBAC Kubernetes, w tym poświadczenia rejestru Helm udostępnione zadaniu przetwarzania pakietów, gdy skonfigurowano poświadczenia Helm dla ścieżek.
- CVE-2026-44937Wysokie
Podatność w SUSE Rancher Fleet umożliwia fałszowanie nieuwierzytelnionych żądań webhook, co może być wykorzystane przez zdalnego atakującego do przeprowadzenia ataku typu odmowa usługi (DoS) lub ataku polegającego na obniżeniu wersji (downgrade) na innych repozytoriach w systemie. Problem dotyczy wersji 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 oraz 0.12 przed 0.12.5.
- CVE-2026-44936Średnie
W SUSE Rancher Fleet w wersjach 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 i 0.12 przed 0.12.15 brak filtrowania w czytniku pakietów (bundle reader) powoduje, że gdy pole helmRepoURLRegex nie jest ustawione w zasobie GitRepo, poświadczenia uwierzytelniania Helm (BasicAuth) są przekazywane do dowolnego adresu URL określonego w polu helm.repo pliku fleet.yaml. Umożliwia to atakującym mającym dostęp do repozytoriów git monitorowanych przez Fleet przechwycenie poświadczeń dostępu do Helm.
Oryginalny opis (angielski, źródło NVD)
A privilege mismatch was found in Fleet. When a bundle requested namespace labels or annotations through the namespaceLabels and namespaceAnnotations options, the resulting namespace metadata update was not subject to the same authorization as the rest of the bundle's deployment. As a result, a bundle could change labels and annotations on a target namespace even when the identity it was pinned to was not authorized to modify that namespace. This affected SUSE Rancher Fleet 0.16 before 0.16.2, 0.15 before 0.15.7, 0.14 before 0.14.11, 0.13 before 0.13.16 and potentially older versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS