注目★★★★★GitHub Advisory
Rancher に特権昇格脆弱性、プロジェクト所有者がホストアクセス可能に
30秒で把握
- 1Rancher Manager のプロジェクト所有者が Pod Security Admission 変更・特権昇格が可能
- 2デフォルト設定でクラスタメンバーがプロジェクト所有権取得後、特権コンテナデプロイ・ホストアクセス可能に
- 3マルチテナント環境では RBAC ポリシー見直し・PSA 設定監視を即実施
要約
Rancher Manager にて、プロジェクト所有者 (Project Owner) がポッド・セキュリティ・アドミッション (PSA) ラベルを変更できる特権昇格脆弱性が発見された。デフォルト設定下でクラスタメンバーアクセスを持つユーザーがプロジェクト所有権を取得し、名前空間内の PSA を特権プロファイルに変更することで、特権コンテナをデプロイ可能になる。これにより Kubernetes セキュリティ保護が無効化され、コンテナ境界を越えたエスケープやホストレベルリソースへのアクセス、クラスター内での権限昇格が発生する可能性がある。
あなたへの影響
Rancher をマルチテナント環境で運用するチームは、プロジェクト所有者ロールの権限制限と PSA 設定の監視を直ちに実施し。
推奨：必要に応じて RBAC ポリシーの見直しと当該 CVE のパッチ提供を待つ間の暫定対策を検討すべき。