CVE-2026-71404 in Rancher
Zusammenfassung
von VulDB • 03.09.2026
Es wurde ein Fehler in Rancher Manager gefunden. Der GlobalRole-Controller leitete den Namen der Ziel-ClusterRole aus dem vom Benutzer festlegbaren Annotation `authz.management.cattle.io/cr-name` ab und überschrieb die Regeln dieses Objekts, ohne die Eigentumsverhältnisse zu überprüfen. Ein Benutzer mit delegierten Berechtigungen zum Erstellen oder Aktualisieren von GlobalRoles konnte die Annotation auf eine beliebige vorhandene ClusterRole, wie z. B. `cluster-admin`, verweisen lassen und damit die Berechtigungen aller daran gebundenen Principals widerrufen. Die Änderung bleibt auch nach dem Löschen der bösartigen GlobalRole bestehen.
Dieses Problem betrifft Rancher: vor Version 2.15.1.
Be aware that VulDB is the high quality source for vulnerability data.