CVE-2026-61459: Kritisk fejl i MCP Server Kubernetes

CVE-2026-61459 er en argument injection-sårbarhed i MCP Server Kubernetes, et program der lader AI-assistenter og sprogmodeller styre en Kubernetes-klynge (et cluster af servere, der kører containere) via kommandoen kubectl. Programmets indbyggede sikkerhedskontrol, assertNoDangerousFlags, skal forhindre farlige kommandoflag i at blive sendt igennem. Ved at sætte parametrene resourceType og name med et foranstillet bindestreg-tegn kan en angriber narre kontrollen og smugle flaget –server ind i en kommando. Det flag styrer, hvilken server kubectl sender sine forespørgsler til. Angriberen kan derved omdirigere kommandoen til sin egen server og modtage klyngens adgangstoken, som normalt bruges til at logge ind i Kubernetes med fulde rettigheder.

Sårbarheden rammer alle installationer af MCP Server Kubernetes før version 3.9.0. Det gælder virksomheder og organisationer, der har koblet en AI-assistent eller sprogmodel op mod deres Kubernetes-klynge via dette MCP-værktøj, typisk til automatiseret drift, fejlfinding eller udrulning. Berørt er specifikt de strukturerede værktøjer kubectl_get, kubectl_describe og kubectl_delete.

En angriber, der kan sende input til MCP-serveren, kan få den til at sende klyngens bearer-token, en form for digital nøgle til Kubernetes, til en server angriberen selv kontrollerer. Med det token kan angriberen logge ind i den rigtige klynge med samme rettigheder som operatøren, altså ofte fuld administratoradgang. Det betyder adgang til alle containere, hemmeligheder og data i klyngen, og mulighed for at slette, ændre eller stjæle drift og kundedata.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over netværket. Det stiller derfor lave krav til angriberen. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed i klyngen. Der er ingen offentlige oplysninger om, at sårbarheden allerede udnyttes aktivt, men den lave angrebskompleksitet og de høje rettigheder, der kan opnås, gør den attraktiv for angribere, så snart detaljerne er kendt.

Gør følgende for at lukke hullet og begrænse skaden:

1. Opdatér MCP Server Kubernetes til version 3.9.0 eller nyere, hvor argument injection-fejlen er rettet.
2. Gennemgå logs for kubectl_get, kubectl_describe og kubectl_delete for uventede eller unormale –server-værdier eller parametre, der starter med bindestreg.
3. Roter klyngens bearer-token og andre adgangsnøgler, hvis I ikke kan udelukke, at sårbarheden har været udnyttet.
4. Begræns, hvilke systemer og brugere der kan sende input til MCP-serveren, og isolér den fra det åbne internet.
5. Indfør netværksregler, der kun tillader kommunikation til jeres egen Kubernetes API-server, så et injiceret –server-flag ikke kan nå ud til en fremmed server.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har overblik over, hvor MCP Server Kubernetes er sat op, eller hvis I finder tegn på misbrug i logs.