Rancher Manager: Rechteausweitung über GlobalRole inheritedNamespacedRules

Zusammenfassung

SUSE Rancher Manager prüft das Feld inheritedNamespacedRules einer GlobalRole nicht auf Rechteausweitung. Ein authentifizierter Benutzer, der bereits GlobalRoles erstellen oder ändern und GlobalRoleBindings erstellen darf, kann dadurch Berechtigungen in benannten Namespaces aller nachgelagerten Cluster erhalten, die über seine eigenen Rechte hinausgehen. Laut Hersteller wird von Administratoren erwartet, dass sie diese Berechtigungen besitzen; für sie stellt dies daher keine Eskalation dar. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit beschränken sich auf die betroffenen Namespaces, betreffen aber alle verwalteten nachgelagerten Cluster.

Betroffen

• SUSE Rancher 2.15.2 (Herstellertabelle: 2.15.2 bis vor 2.15.3). Laut Advisory sind 2.15.0 und neuer betroffen; für 2.15.0 und 2.15.1 ist dies unklar, daher nicht als sicher annehmen.
• SUSE Rancher Webhook 0.11.0 bis vor 0.11.4
• SUSE Rancher Webhook 0.12.0 bis vor 0.12.1
• Rancher 2.14.x, 2.13.x und älter: laut Hersteller nicht betroffen.

Behoben in

• Rancher 2.15.3
• Rancher Webhook 0.11.4 (verwendet mit Rancher 2.15.3)
• Rancher Webhook 0.12.1

Umgehung

Unbekannt. Der Hersteller gibt an, dass es keinen Workaround gibt, der das Problem vollständig behebt. Die Exposition bis zum Patch reduzieren:

• Einschränken, wer GlobalRoles erstellen oder ändern und GlobalRoleBindings erstellen darf; diese Berechtigungen nur vertrauenswürdigen Administratoren erteilen.
• Bestehende GlobalRole-Objekte auf unbeabsichtigte inheritedNamespacedRules-Einträge prüfen und diese entfernen.
• Prüfen, dass GlobalRoleBindings mit solchen Rollen nur an vorgesehene Benutzer und Gruppen gebunden sind.
• RBAC in nachgelagerten Clustern auf Rollen und Bindings prüfen, die nicht von einem autorisierten Administrator erstellt wurden.

Ausnutzung

• Keine bekannte Ausnutzung; keine Hinweise auf aktive Ausnutzung gefunden.
• Kein öffentlicher Proof-of-Concept gefunden; der Status gilt wegen der kurzen Zeit seit der Veröffentlichung als unbekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Laut einer Drittquelle nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• Die Rancher-Version prüfen und auf Rancher 2.15.3 aktualisieren (beziehungsweise auf Rancher Webhook 0.11.4 oder 0.12.1, wenn separat eingesetzt).
• Bis zum Patch die oben genannten Workarounds umsetzen und die Delegation der Verwaltung globaler Rollen einschränken.
• Nach dem Upgrade bestehende GlobalRoles und GlobalRoleBindings auf unerwartete inheritedNamespacedRules-Einträge prüfen, da vor dem Fix erstellte Objekte nicht rückwirkend validiert werden.
• Änderungen an GlobalRoles und GlobalRoleBindings überwachen.
• Hinweis: Die NVD-Analyse steht noch aus; CWE und betroffene Versionen unterscheiden sich zwischen den Quellen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f898-2c8h-r7jc (rancher/webhook) github.com
• SUSE Rancher security advisories and CVEs ranchermanager.docs.rancher.com
• Rancher releases github.com
• VulDB entry for CVE-2026-88810 vuldb.com
• OffSeq threat radar for CVE-2026-88810 radar.offseq.com
• Strix CVE-2026-88810 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:44.