CVE-2026-71404 in Rancher
Sumário
de VulDB • 03/09/2026
Foi encontrada uma falha no Rancher Manager. O controlador GlobalRole derivava o nome do ClusterRole alvo a partir da anotação `authz.management.cattle.io/cr-name`, configurável pelo usuário, e sobrescrevia as regras desse objeto sem verificar a propriedade (ownership). Um usuário com permissão delegada para criar ou atualizar um GlobalRole poderia apontar essa anotação para qualquer ClusterRole existente, como o `cluster-admin`, revogando assim as permissões de todos os principais (principals) vinculados a ele. A alteração persiste mesmo após a exclusão do GlobalRole malicioso.
Este problema afeta o Rancher: antes da versão 2.15.1.
Be aware that VulDB is the high quality source for vulnerability data.