SUSE Rancher の深刻な脆弱性 CVE-2024-58260 が FIX：Admin アカウント・ロックアウトの可能性

SUSE Rancher Flaws Allow Attackers to Lock Out Admin Accounts

2025/09/29 gbhackers — SUSE Rancher Manager に、深刻なセキュリティ脆弱性 CVE-2024-58260 (CVSS：7.1) が発見された。この脆弱性を悪用する、昇格した権限を持つ攻撃者は、管理者アカウントをロックアウトし、Kubernetes クラスタ管理の操作全体を妨害する可能性がある。

脆弱性の概要

この脆弱性は、Rancher Manager 内のユーザー名フィールドにおける、サーバ・サイド検証の不備に起因する。

この欠陥を突くユーザー・リソースの更新権限を持つユーザーが、ユーザー名を操作することで、重要な管理者アカウントなどの標的アカウントへのアクセスを拒否できる。

AttributeDetails
CVE IDCVE-2024-58260
SeverityHigh (CVSS 7.1)
CVSS VectorCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:L/A:H
Patched Versions2.12.2, 2.11.6, 2.10.10, 2.9.12

この脆弱性により、２つの主要な攻撃ベクターが悪用される。ひとつの例として、ユーザー名乗っ取り攻撃では、悪意のユーザーが別のユーザーのユーザー名を “admin” に設定し、Rancher のログイン時の一意性の強制により、正当な管理者や影響を受けるユーザーを排除できる。

さらに、アカウント・ロックアウト攻撃では、管理者アカウントの更新権限を持つユーザーが、管理者のユーザー名を変更できるため、すべての Rancher UI 管理者アクセスが事実上ブロックされる。

これらの攻撃シナリオは、MITRE ATT&CK フレームワークのアカウント・アクセス削除 (T1531) 手法と一致している。つまり、攻撃者は正当なユーザーが使用するアカウントへのアクセスを阻止することで、システム／ネットワークのリソースの可用性を妨害できる。

この脆弱性の影響が顕著なのは、複数のリリース・ブランチにおいて、影響を受ける Rancher Manager バージョンを実行しているユーザー組織となる。

この脆弱性を悪用する攻撃者は、その前提として、ユーザー・リソースの更新権限を含む高権限が必要となる。その一方で、いったん悪用されると、その影響は深刻なものとなり、プラットフォーム管理とユーザー認証機能が完全に中断される恐れがある。

ユーザー組織にとって必要なことは、修正プログラムを適用したバージョン 2.12.2／2.11.6／2.10.10／2.9.12 への速やかなアップグレードである。また、迅速なパッチ適用が不可能な環境では、ユーザー関連リソースの更新権限を、信頼できるユーザーだけに厳しく制限する必要がある。

この脆弱性は、セキュリティ研究者 Samjustus により、GitHub セキュリティ・アドバイザリ GHSA-q82v-h4rq-5c86 を通じて公開された。エンタープライズ・コンテナ管理プラットフォームにおける、適切な入力検証の重要性が強調される。

SUSE Rancher Manager に、深刻なセキュリティ脆弱性が発見されました。この脆弱性は、ユーザー名フィールドに対する、サーバ・サイドでの入力検証が不十分なことに起因します。ユーザー名の一意性を厳密に確認していなないため、悪意のユーザーが任意の名前を設定できてしまい、管理者アカウントと競合させることが可能になっています。その結果として、正規の管理者がシステムにアクセスできなくなるアカウント・ロックアウトや、管理操作を妨害する状況が生じると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Rancher で検索も、ご参照ください。