CVE-2026-66786: Kritisk fejl i Submariner giver root-adgang
Sårbarhed i Submariner (CVE-2026-66786) kan give en tilsluttet klynge mulighed for at køre kode som root på gateway-noden. Opdatér eller skift godkendelsesmetode.
Hvad er det?
CVE-2026-66786 er en fejl i Submariner, et værktøj der forbinder flere Kubernetes-klynger til et fælles netværk. Fejlen er en kodeindsprøjtning, CWE-94, hvor systemet indsætter data direkte i en konfiguration uden at kontrollere dem først. I den certifikatbaserede godkendelsestilstand, cert-auth, bygges forbindelsen op af frie tekststrenge fra en ressource-definition uden validering. En tilsluttet klynge kan angive et feltet CableName med linjeskift og ipsec.conf-direktiver, som er konfigurationslinjer til IPsec-kryptering. Det gør det muligt at indsætte egne konfigurationsparametre eller udføre kommandoer via de såkaldte leftupdown hooks, scripts der køres, når en forbindelse etableres eller lukkes.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Submariner til at forbinde flere Kubernetes-klynger, for eksempel mellem on-premise og cloud-miljøer eller mellem produktions- og testklynger. Det er specifikt opsætninger, der bruger cert-auth-tilstanden til godkendelse mellem klynger, som er udsat. Danske virksomheder med containerbaserede løsninger, der spænder over flere klynger, herunder OpenShift-baserede miljøer, bør undersøge, om de bruger Submariner.
Hvad kan ske?
Hvis en klynge i mesh’et er kompromitteret, kan den udnytte fejlen til at få fuld kontrol over gateway-noden, den maskine der styrer forbindelsen mellem klyngerne. Angriberen får kørt kommandoer som root og kan derfra bevæge sig videre i netværket, læse data fra andre klynger eller lukke forbindelsen ned. For en dansk virksomhed betyder det, at et kompromis i en enkelt tilsluttet klynge, for eksempel hos en samarbejdspartner eller i et testmiljø, kan sprede sig til produktionsmiljøet.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ingen handling fra en bruger og kan udføres over netværket, men det kræver høje privilegier, det vil sige, at angriberen allerede skal have adgang til at oprette eller ændre ressourcer i en klynge, der er tilsluttet mesh’et. Der er ikke oplysninger om, at fejlen udnyttes aktivt på offentliggørelsesdatoen. Konsekvensen ved udnyttelse er dog fuld kontrol over gateway-noden, derfor den høje score.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Opdatér Submariner til en version, hvor CableName-feltet valideres, før konfigurationen bygges. Det lukker hullet.
- Kan I ikke opdatere med det samme, så skift fra cert-auth til en anden godkendelsesmetode mellem klyngerne.
- Gennemgå, hvilke klynger der er tilsluttet jeres Submariner-mesh, og fjern klynger, I ikke fuldt kontrollerer eller har tillid til.
- Overvåg gateway-noderne for uventede ændringer i ipsec.conf eller processer, der køres som root uden forklaring.
- Har I ikke selv kompetencerne til at gennemgå jeres Submariner-opsætning, så få en ekstern part til at vurdere risikoen, inden I tilslutter flere klynger.
Opdatér inden for få dage
Vi anbefaler, at I hurtigst muligt kortlægger, om jeres Kubernetes-miljø bruger Submariner med cert-auth, og at I opdaterer så snart en rettet version er tilgængelig. I kan vente med at handle, hvis jeres mesh kun består af klynger, I selv driver og har fuld kontrol over, men vi anbefaler stadig at overvåge situationen, indtil en officiel rettelse er bekræftet.
Tidslinje
Konkrete eksempler
Kompromitteret testklynge angriber produktion
En dansk virksomhed forbinder sin produktionsklynge med en testklynge via Submariner i cert-auth-tilstand. Testklyngen bliver kompromitteret gennem en anden fejl, og angriberen udnytter herefter CVE-2026-66786 til at sætte et manipuleret CableName op. Det giver angriberen root-adgang til gateway-noden i produktionsklyngen og dermed adgang til hele produktionsnetværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun berørt, hvis I bruger Submariner til at forbinde flere Kubernetes-klynger, og hvis I bruger cert-auth-tilstanden til godkendelse mellem klyngerne. Bruger I ikke Submariner, er I ikke ramt.
Hvordan tjekker vi, om vi bruger cert-auth-tilstand?
Gennemgå jeres Submariner-konfiguration og de tilhørende ressource-definitioner for klyngeforbindelser. Er godkendelsesmetoden sat til cert-auth, er I i risikozonen og bør følge trinene i denne artikel.
Kan vi vente til weekenden med at opdatere?
Er alle klynger i jeres mesh under jeres egen fulde kontrol, er risikoen begrænset, og I kan planlægge opdateringen som en normal driftsopgave. Har I tilsluttet klynger fra samarbejdspartnere eller eksterne parter, bør I prioritere det hurtigere.
Skal vi anmelde noget, hvis vi bliver ramt?
Fører et angreb til adgang til personoplysninger eller andre følsomme data, skal I vurdere anmeldepligt efter databeskyttelsesreglerne på samme måde som ved andre sikkerhedsbrud. Kontakt jeres databeskyttelsesrådgiver, hvis det bliver relevant.
Hvad gør vi, hvis vi ikke kan opdatere Submariner med det samme?
Skift godkendelsesmetode fra cert-auth til en anden understøttet metode, og begræns hvilke klynger der kan tilsluttes jeres mesh, indtil en opdateret version er installeret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw was found in submariner. In cert-auth mode, the connection configuration is built using free-form strings from the Custom Resource Definition (CRD) without proper validation. A malicious cluster can exploit this by publishing a CableName that includes newlines and ipsec.conf directives. This allows an attacker to inject arbitrary configuration parameters or execute commands through leftupdown hooks, leading to remote code execution as root on the gateway node.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.