SUSE Rancher Fleet: Privilegienerweiterung zu cluster-admin auf dem lokalen Rancher-Cluster

Zusammenfassung

Der Agent-Verwaltungscontroller von Rancher Fleet beschränkte nicht ausreichend, auf welche Kubeconfig-Secrets ein Fleet-Cluster-Objekt verweisen darf. Ein authentifizierter Benutzer, der in einem von ihm kontrollierten Namespace einen Fleet-Cluster anlegen kann, kann diesen mit den administrativen Zugangsdaten des Rancher-Management-Clusters (local) verknüpfen. Der Controller verwaltet dann diesen Cluster und führt die Fleet-Inhalte des Benutzers dort mit erhöhten Rechten aus, was zu vollständigen cluster-admin-Rechten, zum Zugriff auf gespeicherte Secrets inklusive Zugangsdaten nachgelagerter Cluster und zur Störung des Rancher-Management-Servers führen kann.

Betroffen

• SUSE Rancher Fleet 0.16.0 bis vor 0.16.3
• SUSE Rancher Fleet 0.15.0 bis vor 0.15.8
• SUSE Rancher Fleet 0.14.0 bis vor 0.14.12
• SUSE Rancher Fleet 0.13.0 bis vor 0.13.17
• Möglicherweise ältere Versionen (unbekannt)

Behoben in

• Fleet 0.16.3, 0.15.8, 0.14.12, 0.13.17
• Rancher v2.15.3, v2.14.7, v2.13.11, v2.12.15 (Rancher und das mitgelieferte Fleet gemeinsam aktualisieren)

Umgehung

• Keine Konfigurationsoption in Fleet verhindert das Problem vollständig; ein Update wird dringend empfohlen.
• Die Self-Service-Erstellung von Fleet-Workspaces für normale Benutzer über benutzerdefinierte globale Rollen entfernen, sofern dies zum Mandantenmodell passt.
• Schreibzugriff auf fleet.cattle.io-Cluster und -Bundles auf Administratoren und vertrauenswürdige Operatoren beschränken.
• allowUnlabeledKubeConfigSecretNamespaces: true nicht als Massnahme aktivieren, da dies das verwundbare Verhalten wiederherstellt.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• VulDB führt den Status als 0-Day mit einer Marktpreisschätzung; dies ist kein Beleg für aktive Ausnutzung.

Unsere Empfehlung

• Rancher und Fleet auf die oben genannten gepatchten Versionen aktualisieren, Rancher und das mitgelieferte Fleet gemeinsam.
• Bis zum Patch den Kreis der Benutzer einschränken, die Fleet-Workspaces, -Cluster und -Secrets in Rancher erstellen können.
• Nach dem Update manuell registrierte Cluster mit kubeConfigSecretNamespace prüfen; deren Secrets mit fleet.cattle.io/kubeconfig-referenceable-from=<Cluster-Namespace> kennzeichnen, sonst werden sie nicht mehr importiert.
• Prüfen, ob die Rancher-Oberfläche und -API aus dem Internet erreichbar sind, und exponierte Instanzen priorisieren.
• Rancher-Audit-Logs auf unerwartete Fleet-Cluster-Objekte und Änderungen an Secrets im Management-Cluster überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub advisory GHSA-qfmw-gw96-ffcr github.com
• Rancher security advisories and CVEs ranchermanager.docs.rancher.com
• Rancher releases github.com
• VulDB entry 429885 vuldb.com
• Positive Technologies PT-2026-132862 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 17:22.