CVE-2026-41052

Eskalacja uprawnień dla roli Project Owner w Rancher (LPE)

CVSS 9.4v4.0pub. 2026-06-29upd. 2026-07-02

Podatność w Rancher pozwala użytkownikom posiadającym rolę Project Owner na eskalację swoich uprawnień do wyższego poziomu. Błąd sklasyfikowany jako CRITICAL (CVSS 9.4) może prowadzić do przejęcia kontroli nad środowiskiem zarządzanym przez Rancher.

▸ Pokaż oryginał (EN)

Improper privilege handling could be used by users with Project Owner role to escalate privileges, in Rancher versions 2.14 before 2.14.2, 2.13 before 2.13.6, and 2.12 before 2.12.10.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej obsługi uprawnień (CWE-305 — Authentication Bypass by Primary Weakness), która nie weryfikuje właściwie granic roli Project Owner. Użytkownik z tą rolą może wykorzystać lukę do uzyskania uprawnień przekraczających przypisany mu zakres. Atak jest możliwy zdalnie, bez interakcji użytkownika, jednak wymaga posiadania konta z rolą Project Owner.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do zasobów i operacji zarezerwowanych dla ról wyższego poziomu, co może prowadzić do pełnego przejęcia kontroli nad środowiskiem Rancher, w tym nad zarządzanymi klastrami Kubernetes.

Mitygacja

Należy zaktualizować Rancher do wersji 2.12.10, 2.13.6 lub 2.14.2 (odpowiednio do używanej gałęzi). Szczegóły dostępne w oficjalnym security advisory producenta: https://github.com/rancher/rancher/security/advisories/GHSA-vx8h-4prv-g744

Kogo dotyczy

Rancher w wersjach 2.12 przed 2.12.10, 2.13 przed 2.13.6 oraz 2.14 przed 2.14.2.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X