Rancher Users: Update Now to Fix Admin Takeover Bug (CVE-2025-23391)
2025/04/03 SecurityOnline — Rancher に、セキュリティ脆弱性 CVE-2025-23391 (CVSS ：9.1) が発見された。Rancher は、オープンソースのコンテナ管理プラットフォームで、ロケーションを選ぶことなく Kubernetes を、IT 要件を満たしながら簡単に実行するため、DevOps チームに頼りにされている。その Rancher 脆弱性により、深刻なリスクがもたらされる。
この問題の原因は、制限付き管理者の権限に対する、Rancher の処理方法にある。アドバイザリには、「Rancher 内で脆弱性が特定され、制限付き管理者であれば、主たる管理者のパスワードを変更し、アカウントを乗っ取ることができる。それは、最小権限の原則に明らかに違反するものだ。制限付き管理者は、併せてユーザー管理権限を持たない限り、より権限の高いユーザーのパスワードの変更を許されるべきではない」と記されている。
基本的に、脆弱性 CVE-2025-23391 の悪用に成功した、制限付き管理権限を持つユーザーであれば、その権限を昇格させ、Rancher プラットフォームを完全に制御できてしまう。ただし、制限付き管理者ロールが使用されない Rancher デプロイメントの場合は、この脆弱性の影響を受けない。
影響を受けるバージョン
影響を受ける Rancher のバージョンは、以下のとおりである：
- >=2.8.0,<2.8.14
- >=2.9.0,<2.9.8
- >=2.10.0,<2.10.4
- <2.11.0
すでに SUSE は、パッチをリリースし、この脆弱性に対処している。このパッチ適用バージョンに導入された、主な変更点は以下のとおりである:
- ユーザーに manage-users verb がある場合には、対象となるユーザーに、ユーザーの編集／削除が許可される。これにより、組み込みの Manage Users ロールは、すべてのユーザーを編集できる。
- ユーザーに manage-users がなく、編集／削除のみの権限を持つ場合には、編集の対象となるユーザーの権限が、エディター以下のルールを持つことがチェックされるが。
今回のパッチ適用バージョンには、リリース v2.8.14／v2.9.8／v2.10.4／v2.11.0 が含まれる。
速やかなアップグレードが不可能なユーザー向けに、このアドバイザリは、以下の回避策を提供している：
- Rancher 制限付き管理者へのアクセスを、信頼できるユーザーだけに制限する。
- 制限付き管理者を、権限が制限されたカスタム・ロールにダウングレードする。
制限付き管理者権限をもつ攻撃者が、管理者のパスワードを変更し、そのアカウントを乗っ取ることができるという、恐ろしい脆弱性です。ご利用のチームは、パッチの適用を、お急ぎください。なお、Rancher の直近の脆弱性は、2025/03/03 の「Rancher の脆弱性 CVE-2025-23388／23389 が FIX：Kubernetes 環境でのサービス拒否などの恐れ」です。よろしければ、 Rancher で検索と併せて、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.