Rancher の蓄積型 XSS の脆弱性 CVE-2024-52281 が FIX：ただちにパッチを！

CVE-2024-52281: Rancher Vulnerability Exposes Users to Stored XSS Attacks

2025/01/16 SecurityOnline — Kubernetes の導入に広く使用さる OSS コンテナ管理プラットフォーム Rancher に、深刻な脆弱性 CVE-2024-52281 (CVSS：8.9) が発見された。この蓄積型クロス・サイト・スクリプティング (XSS) の欠陥を悪用する攻撃者は、任意の JavaScript コードの実行を達成し、プロダクション環境を重大なリスクにさらす可能性を手にする。

Rancher は人気のコンテナ管理プラットフォームであり、プロダクション環境における Kubernetes クラスターの導入／管理の機能を提供している。具体的に言うと、Kubernetes の運用を簡素化し、IT コンプライアンス要件を満たすことで、DevOps チームを支援するものだ。

脆弱性 CVE-2024-52281 は、Rancher UI の蓄積型 XSS の欠陥に起因している。この問題は、ユーザーが入力した HTML コードを、サニタイズできないクラスターの Description フィールドに存在する。この欠陥を悪用する攻撃者は、JavaScript の挿入を達成し、影響を受ける UI 要素をユーザーが操作するたびに、その JavaScript を実行できる。

この脆弱性を悪用する攻撃者は、以下のアクションを実行できる：

• ユーザー・セッションの侵害：セッション・クッキーまたは高機密性ユーザー情報の窃取。
• 悪意のスクリプトの挿入：フィッシング・サイトへのユーザーのリダイレクトや、マルウェアの配信を可能にする。
• 権限の昇格：Rancher 管理のクラスタ内で、侵害したユーザーに代わってアクションを実行できる。

すでに Rancher の開発者は、HTML サニタイズ・プロセスを強化し、この脆弱性に対処している。重要な変更点として挙げられるのは、v-tooltip ディレクティブから v-clean-tooltip ディレクティブへの置き換えである。それにより、レンダリングされたすべてのコンテンツがサニタイズされ、スクリプトの挿入が防止される。

Rancher の最新リリースである、バージョン 2.9.4／2.10.0 おいて、この脆弱性は対処されている。ユーザーに対して強く推奨されるのは、Rancher のデプロイメントを直ちに更新し、システムを保護することである。

Rancher は、Kubernetes の展開を合理化するために、企業環境で広く使用されている OSS コンテナ管理プラットフォームである。 ご利用のチームは、ご注意ください。なお、直近の Rancher 関連記事は、2024/10/28 の「SUSE Rancher の RCE 脆弱性 CVE-2024-22036 (CVSS 9.1) が FIX：直ちにアップデートを！」です。よろしければ、Rancher で検索と併せて、ご参照ください。