[TLP:CLEAR]
bollettino di sicurezza 2026/0259
Aggiornamenti SUSE Rancher
02-11-2026
suse, rancher, fleet, privilege-escalation, ssrf, authorization-bypass
descrizione
SUSE ha rilasciato le versioni 2.15.3, 2.14.7, 2.13.11, 2.12.15 e 2.11.19 di Rancher, che correggono tre CVE nel core del prodotto e altre tre vulnerabilità nei moduli Webhook e Fleet.Le 6 vulnerabilità analizzate coprono le seguenti tipologie:
- Privilege escalation tramite esecuzione con privilegi non necessari nel controller di gestione degli agenti Fleet, che non vincolava adeguatamente i kubeconfig secret referenziabili da un oggetto Fleet Cluster
- Disclosure di credenziali a host terzi per assenza di filtraggio nel meta proxy di Rancher Manager, che poteva propagare le credenziali Rancher verso cloud provider
- Privilege escalation nel controllo degli accessi basato su ruoli tramite il campo inheritedNamespacedRules di GlobalRole, non sottoposto alla validazione anti-escalation degli altri campi
- Server-Side Request Forgery (SSRF) nel meta proxy endpoint, con bypass dell'allowlist per errato posizionamento della decisione di controllo
- Authentication bypass per spoofing nel flusso di registrazione cluster Fleet e nell'endpoint shell del cluster locale
4 CVE hanno priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTutte le 6 CVE sono sfruttabili via rete (AV:N). La maggioranza (CVE-2026-94290, CVE-2026-88811, CVE-2026-88810, CVE-2026-88809, CVE-2026-104623) presenta AC:L e UI:N. CVE-2026-104615 si distingue per complessità di attacco elevata (AC:H), che implica la necessità di condizioni specifiche non sempre verificabili dall'attaccante, e richiede privilegi elevati (PR:H) con scope changed.
In termini di privilegi richiesti: CVE-2026-88811 non richiede alcun privilegio (PR:N); CVE-2026-104623 richiede autenticazione con privilegi minimi (PR:L); CVE-2026-94290, CVE-2026-88810 e CVE-2026-88809 richiedono privilegi elevati (PR:H).
Analisi delle CVE con priorità operativa critical
CVE-2026-94290: il controller Fleet non restringeva sufficientemente quali kubeconfig secret un oggetto Fleet Cluster potesse referenziare; un utente con controllo su un namespace poteva associare il proprio Fleet Cluster a credenziali amministrative del management cluster, ottenendo esecuzione dei propri contenuti Fleet con privilegi cluster-admin. Lo scope è changed: l'impatto si estende oltre il componente vulnerabile, con impatto elevato su riservatezza, integrità e disponibilità (C:H/I:H/A:H).
CVE-2026-88811: l'assenza di filtraggio nel meta proxy causa la trasmissione delle credenziali Rancher a destinazioni cloud provider esterne; sfruttabile senza alcun privilegio (PR:N) via rete con bassa complessità. Impatto elevato su riservatezza e integrità (C:H/I:H).
CVE-2026-88810: il campo inheritedNamespacedRules di GlobalRole propagava permessi nei namespace dei cluster downstream senza applicare la validazione anti-escalation prevista per gli altri campi dello stesso oggetto; un utente non amministrativo poteva ottenere permessi superiori a quelli già detenuti. Impatto elevato su riservatezza, integrità e disponibilità (C:H/I:H/A:H), scope unchanged.
CVE-2026-88809: la decisione di controllo dell'allowlist nell'endpoint /meta/proxy veniva valutata in un punto in cui non poteva bloccare il forwarding della richiesta; una destinazione rifiutata veniva registrata nei log ma la richiesta era comunque inoltrata al transport del proxy. Lo scope è changed: impatto elevato sulla riservatezza e limitato sull'integrità (C:H/I:L).
Scope e impatto
Tre CVE presentano scope changed (S:C): CVE-2026-94290, CVE-2026-88809 e CVE-2026-104615, per le quali l'impatto può estendersi oltre il componente direttamente vulnerabile. Le restanti tre (CVE-2026-88811, CVE-2026-88810, CVE-2026-104623) hanno scope unchanged (S:U).
Per le CVE con S:C, l'impatto sulla riservatezza è elevato in tutti i casi; l'impatto sull'integrità è elevato per CVE-2026-94290, limitato per CVE-2026-88809 e CVE-2026-104615; l'impatto sulla disponibilità è elevato per CVE-2026-94290 e CVE-2026-104615, assente per CVE-2026-88809.
Per le CVE con S:U: CVE-2026-88811 ha impatto elevato su riservatezza e integrità, nessun impatto sulla disponibilità; CVE-2026-88810 ha impatto elevato su riservatezza, integrità e disponibilità; CVE-2026-104623 ha impatto limitato su tutte e tre le dimensioni (C:L/I:L/A:L).
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-94290 | 3.1: 9.1/critical | 0.499% | 42.99% | 14.9/critical | no |
| CVE-2026-88811 | 3.1: 9.1/critical | 0.427% | 37.12% | 14.3/critical | no |
| CVE-2026-88810 | 3.1: 7.2/high | 0.476% | 41.31% | 11.7/critical | no |
| CVE-2026-88809 | 3.1: 7.6/high | 0.321% | 25.21% | 10.7/critical | no |
| CVE-2026-104615 | 3.1: 7.9/high | 0.221% | 12.77% | 8.9/high | no |
| CVE-2026-104623 | 3.1: 6.3/medium | 0.272% | 19.65% | 8.2/high | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-201 | Insertion of Sensitive Information Into Sent Data |
| CWE-290 | Authentication Bypass by Spoofing |
| CWE-918 | Server-Side Request Forgery (SSRF) |
| CWE-306 | Missing Authentication for Critical Function |
| CWE-250 | Execution with Unnecessary Privileges |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| SUSE |
rancher
|