Kubernetes-RBAC-Umgehung (CVE-2026-1247): Eskalation zum Cluster-Administrator betrifft alle großen Cloud-Anbieter

Eine kritische RBAC-Umgehung in Kubernetes 1.29–1.31 ermöglicht es jedem authentifizierten Benutzer, seine Berechtigungen durch eine fehlerhaft formatierte ServiceAccount-Token-Projektion auf Cluster-Administratorrechte auszuweiten. CVSS 9.1. Alle großen Cloud-Anbieter sind betroffen. Sofort patchen.

---

Zusammenfassung

In Kubernetes RBAC (rollenbasierte Zugriffskontrolle) wurde eine kritische Schwachstelle entdeckt, die es jedem authentifizierten Benutzer — einschließlich Benutzern mit minimalen Berechtigungen — ermöglicht, seine Rechte auf vollständigen Cluster-Administratorzugriff auszuweiten. Die Schwachstelle liegt in der Verarbeitung projizierter ServiceAccount-Token mit speziell präparierten Zielgruppen-Claims durch den API-Server.

Technische Analyse

Die Schwachstelle befindet sich in der Validierungslogik für Token-Projektionen des kube-apiserver. Wenn ein Pod ein projiziertes ServiceAccount-Token mit mehreren Zielgruppen-Claims anfordert, führt die RBAC-Auswertung des API-Servers die Berechtigungssätze verschiedener ClusterRoleBindings fälschlicherweise zusammen.

Angriffsablauf

1. Der Angreifer erstellt eine Pod-Spezifikation mit einem projizierten ServiceAccount-Token, das präparierte Zielgruppenwerte enthält
2. Die TokenRequest API erzeugt ein Token mit sich überschneidenden Zielgruppen-Claims
3. Wird dieses Token zur API-Authentifizierung verwendet, löst die RBAC-Auswertung fälschlicherweise Bindungen nicht zugehöriger ClusterRoles auf
4. Dadurch erhält das ServiceAccount des Angreifers effektiv Cluster-Administratorrechte

Folgenabschätzung

Für die Kubernetes-Sicherheit könnte es kaum schlimmer kommen:

• Vollständige Kompromittierung des Clusters — Lese- und Schreibzugriff auf alle Namespaces, Geheimnisse und Workloads
• Laterale Bewegung — Wechsel zu anderen Clustern über gemeinsam genutzte Dienstkonten oder föderierte Identitäten
• Datenexfiltration — Zugriff auf alle ConfigMaps und Secrets (einschließlich TLS-Zertifikaten und Zugangsdaten von Cloud-Anbietern)
• Risiko für die Lieferkette — Möglichkeit, laufende Workloads zu verändern, schädliche Container einzuschleusen oder CI/CD-Pipelines zu manipulieren

Betroffene Cloud-Anbieter

Sofortige Behebung

1. Sofort patchen — auf 1.29.15, 1.30.11 oder 1.31.7 aktualisieren
2. ServiceAccount-Token prüfen — alle Konfigurationen projizierter Token auf ungewöhnliche Zielgruppen-Claims überprüfen
3. Audit-Protokollierung aktivieren — TokenRequest-API-Aufrufe mit mehreren Zielgruppen überwachen
4. Netzwerkrichtlinien — die Kommunikation zwischen Pods und dem API-Server nach Möglichkeit einschränken
5. Zugangsdaten rotieren — von einer Kompromittierung ausgehen und bei Erkennung ungewöhnlicher Aktivitäten alle Cluster-Geheimnisse rotieren

Erkennung

Suchen Sie in Ihren Audit-Protokollen nach diesen Anzeichen einer Kompromittierung:

• TokenRequest-Aufrufe mit mehr als zwei Zielgruppenwerten
• Unerwartete system:serviceaccount-Subjekte in ClusterRoleBinding-Audit-Ereignissen
• Verwendung von ServiceAccount-Token über IP-Adressen außerhalb der üblichen Pod-CIDR-Bereiche
• Plötzlicher Anstieg der Lesevorgänge für Geheimnisse aus Namespaces mit geringen Berechtigungen

---