CVE-2026-41050

Nome do Software Vulnerável e Versões Afetadas Rancher versões anteriores a v2.14.1 Rancher versões anteriores a v2.13.5 Rancher versões anteriores a v2.12.9 Rancher versões anteriores a v2.11.13 Rancher versão v2.10.11

Descrição O implantador Helm do Fleet não aplica totalmente a personificação de ServiceAccount em dois caminhos de código, permitindo que um locatário com acesso de push git a um repositório monitorado pelo Fleet leia segredos de qualquer namespace em cada cluster downstream visado por seu GitRepo. Isso ocorre por meio de um bypass de lookup do Helm, onde o mecanismo de template executa consultas à API do Kubernetes usando as credenciais de cluster-admin do fleet-agent em vez da ServiceAccount personificada, e um bypass de valuesFrom, onde referências de Secret e ConfigMap em fleet.yaml helm.valuesFrom são lidas usando o cliente cluster-admin do fleet-agent. Esses problemas quebram a fronteira de personificação multi-tenant, expondo potencialmente credenciais de serviços externos.

Recomendações Atualizar para a versão v2.14.1. Atualizar para a versão v2.13.5. Atualizar para a versão v2.12.9. Atualizar para a versão v2.11.13. Atualizar manualmente a implantação do Fleet para a versão v0.11.13. Restringir o acesso de push git a repositórios monitorados pelo Fleet apenas a usuários confiáveis. Usar recursos GitRepoRestriction para limitar quais ServiceAccounts cada namespace tem permissão para usar. Auditar templates de charts implantados em busca de chamadas lookup e arquivos fleet.yaml em busca de referências valuesFrom entre namespaces. Revisar credenciais potencialmente vazadas e alterá-las, se necessário.