Red Hat hat eine kritische Sicherheitslücke in seiner Lösung Advanced Cluster Management (RHACM) bekannt gegeben. Die Schwachstelle trägt die Kennungen EUVD-2026-57058 und CVE-2026-70398 und erreicht einen CVSS-Score von 9.6. Sie erlaubt es authentifizierten Nutzern, sensible Cluster-Token abzuleiten und Sicherheitsrichtlinien zu umgehen. Ein Patch ist bislang nicht verfügbar.
Manipulation über den GitOpsCluster-Controller
Die Lücke sitzt in der Komponente „multicloud-integrations" und betrifft die Verwaltung von Kubernetes-Clustern in hybriden und Multi-Cloud-Umgebungen. RHACM setzen Unternehmen ein, um mehrere Kubernetes-Cluster zentral zu verwalten und zu orchestrieren. Ein authentifizierter Nutzer, also ein Tenant, kann den GitOpsCluster-Controller manipulieren. Damit lassen sich sensible Bearer-Token von verwalteten Spoke-Clustern abfangen und in eine selbst kontrollierte Namespace umleiten. Diese Token bieten Zugriff auf kritische Cluster-Funktionen und Konfigurationen. Es handelt sich um ein aus dem Netzwerk erreichbares Szenario mit niedriger Komplexität, aber hohem Impact auf Vertraulichkeit und Integrität.
Die Auswirkungen reichen über die betroffene RHACM-Installation hinaus. Durch die abgeleiteten Cluster-Token lassen sich auch ArgoCD-AppProject-Sicherheitsrichtlinien umgehen. ArgoCD ist ein weit verbreitetes GitOps-Tool zur Verwaltung von Kubernetes-Deployments. Ein Angreifer könnte damit nicht nur auf Cluster-Daten zugreifen, sondern auch unbefugte Änderungen an Cluster-Konfigurationen vornehmen und sich so laterale Bewegungen durch die gesamte Infrastruktur erschließen.
Keine Patches, nur Interimsmaßnahmen
Betroffen ist Red Hat Advanced Cluster Management for Kubernetes 2.x, konkret die Komponente rhacm2/multicloud-integrations-rhel9. Red Hat hat bislang keine spezifischen Patch-Versionen veröffentlicht. Laut Sicherheitshinweis gelten alle vorherigen Versionen des betroffenen Pakets innerhalb des jeweiligen Minor-Update-Streams als anfällig. Der Hersteller erklärt, verfügbare Mitigations-Optionen erfüllten entweder nicht die eigenen Kriterien hinsichtlich Benutzerfreundlichkeit, Einsetzbarkeit und Stabilität, oder es gebe schlicht keine.
Wenn du RHACM einsetzt, solltest du bis zur Verfügbarkeit eines Patches vorsorglich den Zugriff auf die GitOpsCluster-Controller-Komponente auf Nutzer mit minimal notwendigen Berechtigungen beschränken. Zusätzlich empfiehlt sich eine vollständige Überprüfung der Cluster-Token-Verwaltung und der ArgoCD-Konfigurationen, um unbefugte Token-Ableitungen oder Policy-Umgehungen frühzeitig zu erkennen.