CVE-2026-71404 in Rancher
Resumen
por VulDB • 2026-09-03
Se ha encontrado un fallo en Rancher Manager. El controlador GlobalRole derivaba el nombre del ClusterRole objetivo a partir de la anotación `authz.management.cattle.io/cr-name`, configurable por el usuario, y sobrescribía las reglas de ese objeto sin verificar su propiedad (ownership). Un usuario con permisos delegados para crear o actualizar un GlobalRole podría apuntar la anotación hacia cualquier ClusterRole existente, como `cluster-admin`, y revocar los permisos de todos los principales vinculados a él. El cambio persiste incluso después de eliminar el GlobalRole malicioso.
Este problema afecta a Rancher: versiones anteriores a 2.15.1.
Be aware that VulDB is the high quality source for vulnerability data.