CVE-2026-66785: Kritisk fejl i Submariner netværk

CVE-2026-66785 er en fejl i Submariner, et værktøj der forbinder netværket mellem flere Kubernetes-klynger, så de kan dele tjenester og trafik. Fejlen skyldes mangelfuld inputvalidering (CWE-20): systemet kontrollerer ikke, om en tilsluttet klynge angiver ægte netværksområder, når den registrerer sig. En ondsindet klynge kan derfor udgive sig for at eje vilkårlige IP-områder. Trafik fra andre klynger i samme netværk, som skulle gå til disse områder, bliver i stedet ledt gennem angriberens tunnel. Det kan betyde, at fortrolige data læses eller ændres, eller at trafikken helt afbrydes.

Rammer organisationer, der bruger Submariner til at koble flere Kubernetes-klynger sammen, typisk virksomheder og offentlige institutioner med drift spredt over flere datacentre, skyudbydere eller et hybrid-miljø. Alle klynger, der er tilsluttet samme Submariner-fællesskab (broker), er udsat, hvis blot én af de tilsluttede klynger er kompromitteret eller drives af en part, man ikke fuldt ud kan stole på.

En dansk virksomhed med flere Kubernetes-klynger, fx en produktionsklynge og en testklynge forbundet via Submariner, risikerer at trafik fra produktionsklyngen bliver omdirigeret gennem en angrebet eller kompromitteret klynge. Det giver mulighed for at aflytte eller ændre data, der sendes mellem klynger, og kan bruges til at afbryde forbindelsen mellem systemer, der er afhængige af hinanden.

CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og udføres over netværket. Angriberen skal have en lav grad af rettigheder, i praksis skal de kunne registrere en klynge i det samme Submariner-fællesskab. Konsekvensen rammer fortrolighed, integritet og driftsstabilitet fuldt ud, og fejlen påvirker også ressourcer uden for den kompromitterede klynge (scope changed). Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb.

Følgende punkter bør gennemgås i den anførte rækkefølge:

1. Opdatér Submariner til den version, hvor validering af netværksområder (subnets) er rettet. Tjek projektets udgivelsesnoter for den konkrete version.
2. Gennemgå, hvilke klynger der er tilsluttet jeres Submariner-fællesskab, og fjern klynger, I ikke længere har brug for eller ikke kan stå inde for.
3. Begræns adgangen til at tilslutte nye klynger til fællesskabet, så kun godkendte administratorer kan gøre det.
4. Overvåg netværkstrafikken mellem klynger for uventede ruter eller trafik, der går gennem klynger, den ikke burde.
5. Dokumentér, hvilke klynger der har adgang til hvilke tjenester, så I hurtigt kan vurdere omfanget, hvis noget alligevel går galt.
6. Hvis I ikke har ressourcer til selv at vurdere jeres Submariner-opsætning, bør I hente hjælp udefra til gennemgangen.