CVE-2026-73268: Kritisk fejl i MCE cluster-curator

CVE-2026-73268 er en fejl i cluster-curator-controller, som er en del af multicluster engine (MCE), et værktøj til at styre flere Kubernetes- og OpenShift-klynger fra ét sted. Fejlen ligger i funktionen CreateJob(), der ikke kontrollerer brugerens input, når den læser feltet spec.install.overrideJob i en ClusterCurator-ressource. En bruger, der blot har lov til at oprette eller opdatere denne type ressource, kan derfor angive sin egen Job-specifikation. Job’et bliver kørt med controllerens egne, forhøjede rettigheder i klyngen. Dermed kan en bruger med lave rettigheder opnå kørsel af vilkårlig kode og eskalere til fuld kontrol over klyngen.

Sårbarheden rammer organisationer, der bruger multicluster engine (MCE), typisk gennem Red Hat Advanced Cluster Management for Kubernetes, til at styre flere Kubernetes- eller OpenShift-klynger. Det gælder især kommuner og virksomheder, der driver egne containerplatforme, og hvor flere teams eller kunder (tenants) har adgang til at oprette ClusterCurator-ressourcer, for eksempel som del af en selvbetjeningsløsning til at rejse nye klynger.

En bruger med kun beskeden adgang, nok til at oprette eller redigere en ClusterCurator-ressource, kan injicere sin egen Job-specifikation og få den kørt med controllerens fulde rettigheder. I praksis betyder det, at brugeren kan læse hemmeligheder (secrets) på tværs af alle administrerede klynger, ændre eller slette klynger og potentielt sprede sig videre til andre systemer, der deler adgangsoplysninger med klyngestyringen. For en dansk virksomhed med flere afdelinger eller kunder på samme platform kan én kompromitteret bruger dermed ende med adgang til alle andres data og infrastruktur.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder, altså adgang til at oprette eller opdatere en ClusterCurator-ressource, og ingen brugerinteraktion fra andre. Det kan udføres over netværket og kræver ikke avancerede tekniske forudsætninger. Fordi angrebet kan påvirke ressourcer uden for den komponent, der bliver udnyttet (ændret omfang), rækker konsekvenserne ud over den enkelte klynge og kan ramme hele klyngeporteføljen. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes på offentliggørelsestidspunktet.

Følgende handlinger bør prioriteres, hvis I bruger multicluster engine eller Red Hat Advanced Cluster Management:

1. Opdatér cluster-curator-controller til den rettede version, så snart Red Hat udgiver en opdatering, og hold øje med det tilhørende sikkerhedsråd.
2. Gennemgå og begræns straks, hvem der har rettigheder til at oprette eller opdatere ClusterCurator-ressourcer, så kun betroede administratorer har adgang.
3. Indfør, hvis muligt, en admission-politik eller lignende kontrol, der blokerer eller begrænser brugen af feltet overrideJob i ClusterCurator-ressourcer, indtil rettelsen er på plads.
4. Gennemgå logs for uventede eller ukendte Job-oprettelser i de namespaces, hvor cluster-curator-controller kører.
5. Roter hemmeligheder (secrets), der kan have været tilgængelige for controlleren, hvis der er mistanke om udnyttelse forud for opdateringen.
6. Søg hjælp udefra, hvis I ikke selv har kompetencerne til at vurdere jeres RBAC-opsætning i Kubernetes, eller hvis I finder tegn på udnyttelse.