CVE-2026-71404 in Rancher
요약
\~에 의해 VulDB • 2026. 09. 03.
Rancher Manager에 결함이 발견되었습니다. GlobalRole 컨트롤러는 사용자가 설정 가능한 `authz.management.cattle.io/cr-name` 주석에서 대상 ClusterRole 이름을 파생하여 소유권을 확인하지 않고 해당 객체의 규칙을 덮어썼습니다. 위임된 GlobalRole 생성 또는 업데이트 권한이 있는 사용자는 이 주석을 `cluster-admin`과 같은 기존 ClusterRole 중 하나로 지정하여, 이에 바인딩된 모든 principal의 권한을 박탈할 수 있습니다. 이러한 변경은 악성 GlobalRole이 삭제된 후에도 유지됩니다.
본 이슈는 Rancher 2.15.1 이전 버전에 영향을 미칩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.