CVE-2026-71472: Kritisk fejl i Red Hat ACM søgekomponent

CVE-2026-71472 er en fejl i søgekomponenten acm-search-v2-rhel9, som er del af Red Hat Advanced Cluster Management for Kubernetes (RHACM). Fejlen er en kommandoinjektion, hvor et program utilsigtet kører kommandoer, en angriber har indsat. Den opstår, fordi en tekststreng kaldet WORK_MEM, som angives i en Search Custom Resource, ikke bliver kontrolleret, før den bruges i et bash-script og en SQL-forespørgsel til databasen. En Search Custom Resource er et styringsobjekt i Kubernetes, som administratorer og udpegede brugere kan redigere for at konfigurere søgefunktionen.

Sårbarheden rammer organisationer, der kører Red Hat Advanced Cluster Management for Kubernetes med søgekomponenten acm-search-v2 på RHEL9. Det er typisk større virksomheder og kommuner, der driver egne Kubernetes- eller OpenShift-klynger og bruger RHACM til at styre flere klynger fra ét sted. Det kræver, at angriberen allerede har en konto med høje rettigheder, enten som hub-administrator eller som bruger med tilladelse til at redigere Search Custom Resource.

En bruger, der har fået tildelt begrænset adgang til at redigere søgekonfigurationen, kan udnytte fejlen til at bryde ud af sin tiltænkte rolle og få fuld kontrol over den postgres-pod, der driver søgedatabasen. Denne pod kører med udvidede rettigheder, så en angriber kan læse, ændre og slette data i klyngens søgeindeks og potentielt bruge adgangen som springbræt til andre dele af klyngen. For en dansk organisation betyder det, at en medarbejder eller ekstern samarbejdspartner med et enkelt konfigurationsfelt kan eskalere fra begrænset adgang til fuld kontrol over en central driftskomponent.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og ingen brugerhandling fra andre, men det forudsætter, at angriberen allerede er logget ind med høje rettigheder, enten som hub-administrator eller som bruger med redigeringsret til Search CR. Det er den forudsætning, der gør sårbarheden sværere at udnytte end en helt uautoriseret fejl, men konsekvensen ved udnyttelse er alvorlig, fordi angrebet kan påvirke komponenter uden for selve søgefunktionen. Der er ikke oplyst kendt aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.

Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer.

1. Opdatér Red Hat Advanced Cluster Management for Kubernetes til den version, Red Hats sikkerhedsbulletin for CVE-2026-71472 angiver som rettet.
2. Gennemgå, hvem der har rettighed til at redigere Search Custom Resource, og fjern adgang for brugere, der ikke skal have den.
3. Begræns hub-administratorrettigheder til det færrest mulige antal personer og konti.
4. Kontrollér logs for postgres-poden i søgekomponenten for uventede kommandoer eller SQL-forespørgsler.
5. Overvåg klyngen for ændringer i Search CR-konfigurationer efter opdateringen.
6. Kontakt Auroa eller jeres Kubernetes-driftsleverandør, hvis I ikke selv kan verificere, at opdateringen er korrekt installeret.