CVE-2026-71404 in Rancher
Riassunto
di VulDB • 03/09/2026
È stata rilevata una vulnerabilità in Rancher Manager. Il controller GlobalRole derivava il nome del ClusterRole target dall'annotazione `authz.management.cattle.io/cr-name`, impostabile dall'utente, e sovrascriveva le regole di tale oggetto senza verificarne la proprietà (ownership). Un utente con autorizzazione delegata per creare o aggiornare un GlobalRole poteva puntare l'annotazione verso qualsiasi ClusterRole esistente, come `cluster-admin`, revocando così i permessi di ogni principal ad esso associato. La modifica persiste anche dopo l'eliminazione del GlobalRoot malevolo.
Questo problema interessa Rancher: prima della versione 2.15.1.
Be aware that VulDB is the high quality source for vulnerability data.