CVE-2026-71471: Kritisk fejl i Red Hat ACM Search
Sårbarhed i Red Hat Advanced Cluster Management (CVE-2026-71471) lader en administrator med adgang til Search-ressourcen køre vilkårlig kode på alle tilsluttede clustre. Begræns adgangen og opdatér, når rettelsen er klar.
Hvad er det?
CVE-2026-71471 er en sårbarhed i komponenten acm-search-v2-rhel9, som er en del af Red Hat Advanced Cluster Management (ACM). ACM bruges til centralt at styre flere Kubernetes- eller OpenShift-clustre fra én hub-cluster. Fejlen sidder i feltet Collector.ImageOverride i en såkaldt Custom Resource, en konfigurationsfil der styrer, hvordan Search-funktionen kører. En bruger med administratorrettigheder på hub-clusteren og adgang til at ændre denne konfiguration kan pege feltet på et vilkårligt container-image. Det image bliver derefter distribueret og kørt på samtlige clustre, som hub-clusteren administrerer. Fejlen er klassificeret som CWE-829, der handler om at inkludere funktionalitet fra en kilde, systemet ikke burde stole på.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Red Hat Advanced Cluster Management til at styre flere OpenShift- eller Kubernetes-clustre samlet, herunder komponenten acm-search-v2-rhel9. Det er typisk større danske virksomheder, kommunale IT-driftscentraler og offentlige institutioner med containerbaseret infrastruktur i flere afdelinger eller datacentre, ikke den typiske mindre SMV uden container-drift.
Hvad kan ske?
Har en angriber først fået administratorrettigheder på hub-clusteren, kan vedkommende bruge sårbarheden til at sprede et skadeligt container-image til alle de clustre, som ACM administrerer. Det giver mulighed for at køre kode og hente data på tværs af hele fleeten af servere i én operation, i stedet for kun på det enkelte system. For en kommune eller virksomhed med flere driftsmiljøer kan det betyde, at et enkelt kompromitteret administratorkonto fører til, at fagsystemer, testmiljøer og produktionsmiljøer alle bliver ramt samtidig.
Hvor alvorligt er det?
CVSS-scoren er 9,0 ud af 10, kritisk. Angrebet kræver ikke, at brugeren klikker på noget (UI:N), og det kan udføres over netværket (AV:N), men det kræver høje rettigheder (PR:H), altså at angriberen allerede er administrator på hub-clusteren. Fordi omfanget ændres (S:C), rammer angrebet ud over det system, hvor fejlen findes, nemlig alle tilsluttede clustre. Fortrolighed og integritet vurderes til høj påvirkning, tilgængelighed til lav. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, og der findes ikke offentligt tilgængelig kode til at udnytte fejlen.
Hvad gør jeg nu?
Da der ikke foreligger en bekræftet rettelse på offentliggørelsesdatoen, handler den umiddelbare beskyttelse om at begrænse, hvem der kan ændre konfigurationen.
- Gennemgå og begræns, hvem der har administratorrettigheder på hub-clusteren og adgang til at ændre Search Custom Resource.
- Overvåg ændringer til Search CR og feltet Collector.ImageOverride for uventede eller uautoriserede opdateringer.
- Følg Red Hats sikkerhedsbulletiner for acm-search-v2-rhel9 og opdatér Red Hat Advanced Cluster Management, så snart en rettet version er tilgængelig.
- Gennemgå logs for tegn på, at der er distribueret uautoriserede container-images til jeres managed clustre.
- Indfør princippet om mindst privilegium for administratorer, så adgang til Search CR kun gives til de få, der har brug for det.
- Søg hjælp hos Red Hat support eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere jeres RBAC-opsætning eller opdage misbrug i logs.
Begræns adgang nu, opdatér ved rettelse
Vi anbefaler, at I straks gennemgår, hvem der har administratorrettigheder på jeres hub-cluster, og indskrænker adgangen til Search Custom Resource til det strengt nødvendige. Det er den vigtigste beskyttelse, indtil Red Hat frigiver en rettet version. Det er i orden at afvente selve opdateringen, hvis I allerede har stram adgangskontrol og overvågning af ændringer til Search CR, men vi vil ikke vente med at stramme rettighederne.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto i en kommunal IT-driftsafdeling
En medarbejder med administratorrettigheder til hub-clusteren i en kommunal IT-driftsafdeling får sin konto overtaget via phishing. Angriberen bruger adgangen til at ændre Search Custom Resource og distribuere et skadeligt container-image til samtlige clustre, kommunen administrerer, herunder produktionssystemer for borgerservice. Konsekvensen er, at flere fagsystemer samtidig bliver kompromitteret, fordi angrebet spreder sig fra ét sted til hele fleeten.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-71471?
I er kun berørt, hvis I bruger Red Hat Advanced Cluster Management med komponenten acm-search-v2-rhel9 til at styre flere OpenShift- eller Kubernetes-clustre. Almindelige virksomheder uden container-drift i den skala er ikke ramt.
Kræver det, at en angriber allerede er logget ind?
Ja. Angrebet kræver administratorrettigheder på hub-clusteren og adgang til at ændre Search Custom Resource. Det er derfor ikke et angreb, der kan udføres af en tilfældig ekstern person uden adgang.
Kan vi vente til weekenden med at reagere?
Ja, hvis I allerede har begrænset, hvem der kan ændre Search CR, og overvåger for uventede ændringer. Er adgangen bredt givet til mange administratorer, bør I stramme den før weekenden.
Findes der en officiel rettelse?
På offentliggørelsesdatoen er der ikke bekræftet en rettet version i NVD-dataene. Følg Red Hats sikkerhedsbulletiner for opdateringer til acm-search-v2-rhel9.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet og persondata eller kritiske systemer er kompromitteret. Uden bevis for misbrug er der ikke grundlag for en anmeldelse.
Hvordan kontrollerer vi, om vores opsætning er sårbar?
Gennemgå RBAC-reglerne for hub-clusteren, og se efter hvem der har patch-adgang til Search Custom Resource. Tjek også logs for ændringer til feltet Collector.ImageOverride.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw was found in acm-search-v2-rhel9. An attacker with administrative privileges on the hub cluster, specifically with patch access to the Search Custom Resource (CR), could exploit a vulnerability in the `Collector.ImageOverride` field. This allows the attacker to deploy an arbitrary container image across all managed clusters. The consequence is remote code execution (RCE), enabling the attacker to execute commands and potentially access sensitive information across the entire fleet of managed clusters.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.