CVE-2026-66792: Kritisk rettighedsfejl i multicloud-operators-subscription
Alvorlig rettighedsfejl i multicloud-operators-subscription lader en almindelig klyngebruger opnå fuld kontrol. Begræns adgang og opdatér snarest.
Hvad er det?
CVE-2026-66792 er en fejl i komponenten multicloud-operators-subscription, som bruges til at styre applikationer på tværs af flere Kubernetes-klynger, blandt andet i Red Hat Advanced Cluster Management. En Subscription er en ressource, der fortæller klyngen, hvilke applikationer der skal installeres hvor. Fejlen betyder, at en bruger med almindelig adgang til en administreret klynge kan oprette en Subscription med bevidst udformede annotationer (metadata-felter) og på den måde få de udvidede rettigheder, som controllerens Service Account har. Service Account er den tekniske konto, som klyngens automatik bruger til at udføre opgaver, og den har typisk adgang på tværs af mange namespaces, som er klyngens interne skillevægge mellem applikationer.
Hvem rammer det?
Sårbarheden rammer organisationer, der driver Kubernetes- eller OpenShift-klynger med multicloud-operators-subscription installeret, herunder Red Hat Advanced Cluster Management for Kubernetes. Det er typisk større virksomheder, hostingselskaber og kommuner, der driver egne multi-cluster-miljøer til drift af flere digitale løsninger. Almindelige SMV’er med standard webhosting er ikke berørt, medmindre deres it-drift eller leverandør bruger denne teknologi til at styre kundernes applikationer.
Hvad kan ske?
En bruger, der i forvejen har begrænset adgang til en administreret klynge, for eksempel en udvikler eller en anden afdelings serviceteknik, kan misbruge fejlen til at implementere ressourcer i alle namespaces med controllerens forhøjede rettigheder. I praksis betyder det, at vedkommende kan tilgå eller ændre andre afdelingers applikationer, læse hemmeligheder (secrets) som adgangskoder og nøgler, eller placere skadelig kode i dele af klyngen, som brugeren ellers ikke har adgang til.
Hvor alvorligt er det?
CVSS-scoren er 9,9 af 10, hvilket er kritisk. Angrebet kræver lav grad af eksisterende adgang (en gyldig konto på den administrerede klynge), men ingen brugerinteraktion fra andre, og det kan udføres over netværket. Fordi angrebet ændrer omfang (scope changed) kan konsekvenserne strække sig ud over den oprindelige adgang og påvirke hele klyngen. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden er udnyttet i praksis eller at der findes offentligt tilgængelig angrebskode.
Hvad gør jeg nu?
Gør følgende, hvis I driver Kubernetes- eller OpenShift-klynger med multicloud-operators-subscription eller Red Hat Advanced Cluster Management:
- Opdatér multicloud-operators-subscription eller RHACM til den version, leverandøren udsender som rettelse, så snart den er tilgængelig.
- Gennemgå og stram adgangsstyringen (RBAC) i klyngen, så kun betroede brugere og service-konti kan oprette Subscription-ressourcer.
- Reducér Service Account-rettighederne for subscription-controlleren til det strengt nødvendige, i stedet for bred adgang på tværs af namespaces.
- Gennemgå audit-logs for usædvanlige Subscription-objekter eller uventede deployments i namespaces, hvor brugerne ikke normalt har adgang.
- Overvåg klyngen for nye eller ændrede workloads, indtil rettelsen er installeret.
- Kontakt Auroa eller jeres driftsleverandør, hvis I ikke selv har kompetencerne til at vurdere og stramme RBAC-opsætningen i jeres klyngemiljø.
Begræns adgang og opdatér snarest
Vi anbefaler, at I straks gennemgår, hvem der kan oprette Subscription-ressourcer i jeres klynger, og strammer rettighederne, mens I afventer en officiel rettelse fra leverandøren. Det er en midlertidig, men effektiv mitigering, der lukker den mest oplagte angrebsvej. Det er kun forsvarligt at vente med at handle, hvis ingen brugere uden for jeres it-drift har adgang til at oprette ressourcer i de berørte klynger.
Tidslinje
Konkrete eksempler
Kommunal driftsplatform med flere fagsystemer
En dansk kommune driver en fælles OpenShift-klynge med Red Hat Advanced Cluster Management til at styre digitale løsninger for flere forvaltninger. En udvikler i én forvaltning har begrænset adgang til klyngen for at teste egne applikationer. Ved at udnytte fejlen opretter udvikleren en Subscription med manipulerede annotationer og opnår dermed adgang til at implementere ressourcer i en anden forvaltnings namespace, herunder adgang til følsomme borgerdata og systemhemmeligheder.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I bruger multicloud-operators-subscription eller Red Hat Advanced Cluster Management til at styre applikationer på tværs af Kubernetes- eller OpenShift-klynger. Almindelig webhosting eller standard-it-drift bruger typisk ikke denne komponent.
Hvordan tjekker vi, om vores klynge er sårbar?
Tjek om multicloud-operators-subscription eller RHACM er installeret i jeres klynger, og undersøg hvilken version der kører. Kontakt jeres driftsleverandør eller platformsansvarlige, hvis I er i tvivl.
Kan vi vente til efter weekenden med at rette det?
Det afhænger af, hvem der har adgang til jeres administrerede klynger. Har eksterne udviklere, kunder eller andre afdelinger allerede en konto med adgang, bør I stramme rettighederne med det samme. Har kun jeres egen betroede it-drift adgang, kan det vente kort tid, mens I planlægger opdateringen.
Skal vi anmelde hændelsen til myndighederne?
Nej, ikke alene fordi sårbarheden findes. Der er ved offentliggørelsen ingen oplysninger om, at den er udnyttet. Konstaterer I derimod tegn på faktisk misbrug og adgang til persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Hvad er en Subscription i denne sammenhæng?
Det er en Kubernetes-ressource, der bruges til automatisk at installere og opdatere applikationer på tværs af flere klynger. Fejlen ligger i, hvordan denne ressource behandler metadata, kaldet annotationer.
Hvor finder vi den rettede version?
Følg jeres leverandørs sikkerhedsmeddelelser, for eksempel Red Hats sikkerhedsråd, hvor den rettede version af multicloud-operators-subscription eller RHACM vil blive annonceret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw was found in the multicloud-operators-subscription component. This vulnerability allows a user on a managed cluster to escalate their privileges by creating a Subscription with specific, crafted annotations. Successful exploitation grants the attacker the ability to deploy resources into any namespace with the elevated permissions of the controller’s Service Account, potentially leading to unauthorized access and control over cluster resources.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.