30秒で判断
- 対応すべき人: RHACM/MCE のハブ/スポーク構成でマルチクラスタを管理している環境
- 対応不要な人: RHACM/MCE を使用していない環境
- 確認コマンド:
oc get multiclusterengine、ハブクラスタの CSR 承認ログ（oc get csr）を確認
概要
RHACM/MCE の managedcluster-import-controller に、権限昇格の脆弱性（CVSS 9.9）が見つかりました。
証明書署名要求（CSR）の自動承認ロジックが署名者名を検査せず、PEM エンコードされた x509 CSR をデコードしないなど、受信 CSR の検証が不十分です。このため、スポーククラスタ上の特権を持つ ServiceAccount が悪意ある CSR を提出することで、ハブクラスタの管理者資格情報を取得できる可能性があります。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| Scope | Changed |
| Confidentiality / Integrity / Availability | High |
| CVSSスコア | 9.9 (Critical) |
影響を受けるソフトウェア
| 製品 | 備考 |
|---|---|
| Red Hat Advanced Cluster Management (RHACM) | 修正版は RHSA 参照 |
| multicluster engine (MCE) | 修正版は RHSA 参照 |
修正バージョンと回避策
- 対策: Red Hat 提供のセキュリティパッチ（RHSA-2026:59556 系ほか）を適用
- 暫定対策: ハブクラスタの CSR 承認状況を監査し、想定外の署名者からの CSR がないか確認する
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。