В Multicluster Engine для Kubernetes обнаружена уязвимость, которая позволяет неаутентифицированному атакующему обращаться к внутренним сервисам управляемых кластеров через прокси-компонент cluster-proxy-addon. Проблема получила идентификатор CVE-2026-66794 и относится к типу SSRF (Server-Side Request Forgery, серверный поддельный запрос). Она приводит к раскрытию данных, которые должны быть изолированы от внешней сети.
Уязвимость CVE-2026-66794
Уязвимость возникает из-за отсутствия надёжной аутентификации и авторизации на пользовательском маршруте аддона. Этот маршрут доступен без учётных данных, что само по себе создаёт угрозу. Атакующий, имеющий доступ к маршруту, может изменять сегменты пути в URL-запросе. В результате прокси пересылает запрос на произвольный сервис внутри любого подключённого управляемого кластера. Поскольку запрос исходит из инфраструктуры, которой доверяет кластерное окружение, межсетевые экраны и правила сегментации перестают быть препятствием.
Подобное поведение превращает прокси в инструмент для доступа к внутренним компонентам. Например, злоумышленник может составить запрос так, чтобы прокси обратился к внутренней панели управления, API-интерфейсу или другому сервису, который не доступен извне. Конкретный результат зависит от того, какие сервисы работают в кластере, как они аутентифицируют пользователей и какие сетевые политики настроены. Однако в любом случае высокая степень доверия к прокси-инфраструктуре делает такую атаку эффективной.
Red Hat подтвердила, что уязвимость затрагивает компоненты multicluster-engine/cluster-proxy-addon-rhel9 и multicluster-engine/cluster-proxy-rhel9. На момент публикации бюллетеня исправления для этих компонентов не выпущены. Вендор предупреждает, что более ранние версии пакетов в поддерживаемых ветках следует считать уязвимыми, если явно не указано обратное. При этом компания первоначально оценивала потенциальное воздействие как более серьёзное, но после анализа пересмотрела выводы. Сначала предполагалась возможность удалённого выполнения кода, однако в ходе исследования подтвердился именно неаутентифицированный SSRF. Из-за этого Red Hat классифицировала проблему как важную, а не критическую, несмотря на высокий балл CVSS.
Балл по шкале CVSS v3.1 составляет 9,3. Вектор атаки сетевой, сложность низкая, привилегии и взаимодействие с пользователем не требуются. Показатель конфиденциальности оценён как высокий, целостности - как низкий, доступности - как отсутствующий. Высокий балл объясняется тем, что атака не требует учётных данных и доступна из любой точки сети. Вместе с тем отсутствие влияния на доступность и неполное подтверждение влияния на целостность стали причиной понижения уровня важности.
Для организаций, использующих Multicluster Engine, главная угроза заключается в том, что один открытый прокси соединяет несколько кластеров. Вместо того чтобы атаковать каждый кластер отдельно, злоумышленник получает единую точку входа. Внутренние сервисы, которые полагаются только на сетевую изоляцию, оказываются под угрозой раскрытия. Особенно это критично для сред, где управляемые кластеры содержат чувствительные данные или используются для производственных нагрузок.
Red Hat рекомендует немедленно ограничить доступ к пользовательскому маршруту cluster-proxy-addon. Следует настроить межсетевые экраны таким образом, чтобы только доверенные сети и авторизованные адреса могли подключаться к открытому порту маршрута. Кроме того, необходимо выявить все внешне доступные прокси-маршруты и убрать лишнюю публичную экспозицию. Полезно пересмотреть правила для входящего трафика, балансировщиков нагрузки и межсетевых экранов, относящихся к плоскости управления. Командам безопасности стоит мониторить журналы прокси и маршрутов на предмет необычных паттернов запросов и попыток обращения к внутренним сервисам.
Отдельное внимание следует уделить тому, чтобы чувствительные внутренние сервисы самостоятельно проверяли подлинность запросов. Полагаться исключительно на сетевую изоляцию в данном случае нельзя, потому что прокси обходит её от имени атакующего. Как только Red Hat выпустит обновления или бюллетени с исправлениями, их нужно будет установить незамедлительно. До этого момента единственной действенной мерой остаётся ограничение доступа на сетевом уровне.
Уязвимость CVE-2026-66794 относится к категории CWE-918, которая описывает слабую защиту от проксирования запросов на неожиданные узлы, порты или протоколы. В системах управления Kubernetes-кластерами такая проблема особенно опасна, поскольку один прокси способен связать множество окружений. Подобные находки в прокси-компонентах становятся устойчивой тенденцией: они показывают, что внутренние сети не являются безопасной средой по умолчанию. Даже если сервис скрыт за периметром, наличие внутри периметра компонента, который можно использовать как прокси, сводит на нет всю защиту. Поэтому организации стоит рассматривать каждый такой компонент как потенциальную точку выхода к внутренним ресурсам и требовать от внутренних сервисов собственной аутентификации.
Ссылки
