CVE-2026-72508: Kritisk fejl i Red Hat Advanced Cluster Management

Sårbarheden findes i komponenten multicloud-operators-subscription i Red Hat Advanced Cluster Management (RHACM), et værktøj til at styre flere Kubernetes- og OpenShift-klynger fra ét sted. Fejlen er et såkaldt confused-deputy-problem: en bruger med begrænsede rettigheder i et navnerum (namespace-admin) kan oprette en Subscription-ressource, der udnytter en langt mere privilegeret servicekonto i systemet. Servicekontoen udfører derefter handlinger på brugerens vegne, som brugeren selv ikke har lov til. Resultatet er, at brugeren kan udrulle ressourcer, der gælder for hele klyngen, og dermed opnå rettigheder langt ud over sit eget navnerum. I praksis kan det føre til fuld kontrol over klyngen og mulighed for at køre vilkårlig kode.

Det rammer organisationer, der bruger Red Hat Advanced Cluster Management til at styre flere Kubernetes- eller OpenShift-klynger, typisk større it-drift, offentlige institutioner og kommuner med central platformsdrift. Sårbarheden er særligt alvorlig i miljøer med flere lejere (multi-tenant), hvor forskellige teams eller afdelinger kun skal have adgang til deres eget navnerum, men ikke til hele klyngen.

En bruger, der kun burde have adgang til sit eget projekt eller team, kan i praksis få adgang til hele klyngen. Det betyder mulighed for at læse og ændre andre afdelingers data, installere bagdøre, stoppe drift for hele organisationen eller sprede sig videre til andre systemer, der er forbundet til klyngen. For en kommune eller virksomhed med flere teams på samme platform kan det betyde, at ét kompromitteret udviklerteam ender med at lægge hele it-driften ned.

CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lav privilegeret adgang, altså en almindelig navnerum-bruger, ingen brugerinteraktion fra andre, og kan gennemføres over netværket uden kompleksitet. Det rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi angriberen kan læse, ændre og lukke ned for systemer i hele klyngen. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes eller at der findes offentlig kode til at udnytte den, men den lave adgangstærskel gør risikoen reel for enhver, der har flere brugere med navnerum-rettigheder.

Følgende skridt bør gennemføres i denne rækkefølge:

1. Opdatér Red Hat Advanced Cluster Management til den version, Red Hat udpeger som rettet, via jeres normale opdateringskanal eller Red Hats sikkerhedsrådgivning.
2. Gennemgå, hvilke brugere der har navnerum-admin-rettigheder, og fjern adgang for konti, der ikke aktivt har brug for det.
3. Kontrollér logs for Subscription-ressourcer oprettet af navnerum-admin-brugere for at se, om der er tegn på misbrug forud for opdateringen.
4. Begræns midlertidigt, hvem der kan oprette Subscription Custom Resources, indtil opdateringen er gennemført.
5. Dokumentér ændringen som led i jeres sikkerhedslog, særligt hvis I er omfattet af NIS2 eller anden rapporteringspligt.
6. Er I i tvivl om, hvordan jeres RHACM-opsætning er konfigureret, eller om I har navnerum-brugere med for brede rettigheder, bør I hente ekstern hjælp til gennemgangen.