CVE-2026-44935

SUSE Rancher Fleet – brak walidacji referencji 'valuesFrom' umożliwia dostęp do cudzych poświadczeń

CVSS 9.9v3.1pub. 2026-07-02upd. 2026-07-06

Podatność w komponencie Helm Deployer systemu SUSE Rancher Fleet polega na braku walidacji referencji 'valuesFrom', co umożliwia właścicielowi jednego tenant uzyskanie dostępu do poświadczeń Fleet należących do innych tenantów. Jest to podatność krytyczna ze względu na możliwość naruszenia izolacji między dzierżawcami w środowisku wielodostępnym.

▸ Pokaż oryginał (EN)

Missing validation of "valuesFrom" references in Helm Deployer of SUSE Rancher Fleet 0.15 before 0.15.2, 0.14 before 0.14.6, 0.13 before 0.13.11 and 0.12 before 0.12.15 could be used by owners of one tenant to access fleet credentials of other tenants.

🤖 Analiza AI

Jak działa

Mechanizm 'valuesFrom' w Helm Deployer pozwala na wskazywanie zewnętrznych źródeł wartości konfiguracyjnych. Ze względu na brak odpowiedniej walidacji tych referencji, osoba uwierzytelniona jako właściciel jednego tenant może skonstruować odwołanie wskazujące na zasoby (poświadczenia Fleet) należące do innego tenant. Podatność umożliwia więc obejście granic izolacji między tenantami bez konieczności posiadania uprawnień administracyjnych do systemu.

Skutki

Atakujący będący uwierzytelnionym użytkownikiem jednego tenant może uzyskać nieautoryzowany dostęp do poświadczeń Fleet innych tenantów, co prowadzi do naruszenia poufności, integralności oraz dostępności zasobów w środowisku wielodostępnym.

Mitygacja

Należy zaktualizować SUSE Rancher Fleet do wersji: 0.12.15 lub nowszej (gałąź 0.12), 0.13.11 lub nowszej (gałąź 0.13), 0.14.6 lub nowszej (gałąź 0.14), 0.15.2 lub nowszej (gałąź 0.15). Szczegóły dostępne w oficjalnym security advisory producenta: https://github.com/rancher/fleet/security/advisories/GHSA-xr65-5cpm-g36x