CVE-2026-66794: Kritisk fejl i Multicluster Engine for Kubernetes
Kritisk sårbarhed i cluster-proxy-addon i Multicluster Engine for Kubernetes lader uautoriserede angribere proxye adgang til interne tjenester. Tjek jeres version og opdatér.
Hvad er det?
CVE-2026-66794 er en fejl i komponenten cluster-proxy-addon i Multicluster Engine for Kubernetes (MCE), som bruges til at administrere flere Kubernetes-clusters fra et centralt punkt. Fejlen gør det muligt for en angriber uden login at omgå autentificering og autorisation ved at manipulere segmenter i en URL. Cluster-proxy-addon fungerer som en mellemmand, der videresender forespørgsler til interne tjenester i de administrerede clusters. Ved at ændre stien i forespørgslen kan angriberen få proxy-komponenten til at videresende til vilkårlige interne tjenester, som normalt kun er tilgængelige internt. Det giver adgang til systemer, der ikke er beskyttet af sin egen autentificering, fordi de forudsætter, at kun proxy-tjenesten kalder dem.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører Multicluster Engine for Kubernetes til styring af flere Kubernetes- eller OpenShift-clusters, typisk større virksomheder og kommuner med egen platformdrift eller container-infrastruktur. Det er specifikt den user-facing route til cluster-proxy-addon, der er sårbar, og alle miljøer, hvor denne route er tilgængelig fra netværket, er potentielt udsat.
Hvad kan ske?
En angriber, der kan nå den eksponerede route, kan uden login og uden nogen form for brugerinteraktion proxye forespørgsler videre til interne tjenester i alle administrerede clusters. I praksis betyder det, at interne API’er, administrationsgrænseflader eller data, der er beskyttet ved at være internt netværk, pludselig kan tilgås udefra. Det kan føre til udlæsning af følsomme oplysninger som konfiguration, hemmeligheder eller data fra applikationer, der kører i clusteren, og kan bruges som springbræt til yderligere angreb i clustermiljøet.
Hvor alvorligt er det?
CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ingen login (PR:N), ingen brugerhandling (UI:N) og kan udføres over netværket med lav kompleksitet. Konsekvensen er høj påvirkning af fortrolighed, altså risiko for informationslækage, mens integritet kun påvirkes i lav grad og der er ingen påvirkning af tilgængelighed. Der er på offentliggørelsesdatoen ikke oplysninger om, at sårbarheden aktivt udnyttes i det fri, men den lave kompleksitet og fraværet af krav om login gør den attraktiv at angribe, så snart detaljer er kendte.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser eksponeringen, mens I venter på en officiel opdatering.
- Tjek leverandørens sikkerhedsbulletiner for Multicluster Engine for Kubernetes for en opdateret version, der retter cluster-proxy-addon, og installér den så hurtigt som muligt.
- Begræns netværksadgangen til den user-facing route for cluster-proxy-addon, så den kun kan nås fra betroede netværk eller via VPN, indtil en rettelse er installeret.
- Gennemgå adgangslogfiler for proxy-komponenten for usædvanlige URL-stier eller forespørgsler mod interne tjenester, som kan indikere forsøg på udnyttelse.
- Verificér, at interne tjenester bag proxyen ikke udelukkende stoler på netværksplacering som sikkerhedsmekanisme, men også har egen autentificering.
- Dokumentér, hvilke clusters og tjenester der har været eksponeret, som forberedelse til en eventuel hændelsesundersøgelse.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres route er eksponeret, eller hvis I finder tegn på udnyttelse i logfilerne.
Opdatér og begræns adgang inden for få dage
Vi anbefaler, at I straks kontrollerer, om jeres Multicluster Engine for Kubernetes har den sårbare cluster-proxy-addon-komponent eksponeret, og at I begrænser netværksadgangen til den, mens I afventer en officiel rettelse. Det er kun forsvarligt at vente, hvis routen allerede er fuldt afskærmet fra internettet og upålidelige netværk. Er komponenten tilgængelig fra brede netværk, bør begrænsningen ske samme dag, fordi angrebet ikke kræver login eller brugerhandling.
Tidslinje
Konkrete eksempler
Kommune med central clusterstyring
En dansk kommune bruger Multicluster Engine for Kubernetes til at administrere flere clusters, der driver borgerrettede digitale løsninger. En ekstern part finder den eksponerede user-facing route og manipulerer URL-stier for at proxye forespørgsler ind til interne administrative tjenester, som normalt kun er tilgængelige internt. Herved opnås adgang til konfigurationsdata og hemmeligheder i flere af de administrerede clusters, uden at der på noget tidspunkt kræves login.
Ofte stillede spørgsmål
Bruger vi Multicluster Engine for Kubernetes, og er vi ramt?
Det er relevant, hvis I administrerer flere Kubernetes- eller OpenShift-clusters fra en central platform. Tjek med jeres platformteam, om cluster-proxy-addon-komponenten er installeret og om dens user-facing route er tilgængelig fra netværk uden for jeres betroede zone.
Kræver angrebet, at angriberen har en konto?
Nej. Sårbarheden kan udnyttes uden login og uden nogen form for brugerinteraktion, så snart angriberen kan nå den eksponerede route på netværket.
Kan vi vente til weekenden med at rette det?
Det afhænger af, hvor eksponeret jeres route er. Er den kun tilgængelig internt, kan I planlægge opdateringen. Er den tilgængelig fra internettet eller brede netværk, bør I begrænse adgangen samme dag og ikke vente til weekenden.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå logfiler for proxy-komponenten for usædvanlige URL-stier, forsøg på at nå interne tjenester uden forventet forudgående autentificering, samt uventet trafik fra ukendte kilder mod cluster-proxy-addon.
Skal vi anmelde dette som en sikkerhedshændelse?
Hvis I finder tegn på, at sårbarheden faktisk er udnyttet og der er sket adgang til interne data, bør det behandles som en sikkerhedshændelse og vurderes efter jeres normale procedurer for underretning, herunder eventuel anmeldelse til Datatilsynet, hvis persondata er involveret.
Findes der en officiel rettelse?
Der er på offentliggørelsesdatoen ikke oplyst en konkret rettet version i de tilgængelige data. Følg leverandørens sikkerhedsbulletiner for Multicluster Engine for Kubernetes for opdateringer, og indfør netværksbegrænsning i mellemtiden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw was found in the `cluster-proxy-addon` component of Multicluster Engine for Kubernetes. This vulnerability allows an unauthenticated attacker, who can access the user-facing route, to bypass authentication and authorization checks. By manipulating URL path segments, the attacker can proxy requests to arbitrary services across any managed cluster. This enables unauthorized access to internal services that would otherwise be protected, potentially leading to information disclosure or further compromise of the cluster environment.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.