Omisión de RBAC en Kubernetes (CVE-2026-1247): la escalada a administrador del clúster afecta a todos los principales proveedores de nube

Una omisión crítica de RBAC en Kubernetes 1.29–1.31 permite que cualquier usuario autenticado escale sus privilegios a administrador del clúster mediante una proyección malformada de tokens de ServiceAccount. CVSS 9.1. Todos los principales proveedores de nube están afectados. Aplique el parche inmediatamente.

---

Resumen ejecutivo

Se ha descubierto una vulnerabilidad crítica en el RBAC (control de acceso basado en roles) de Kubernetes que permite a cualquier usuario autenticado —incluidos aquellos con permisos mínimos— escalar sus privilegios hasta obtener acceso completo como administrador del clúster. El fallo se encuentra en la forma en que el servidor API procesa los tokens proyectados de ServiceAccount con declaraciones de audiencia especialmente manipuladas.

Análisis técnico

La vulnerabilidad reside en la lógica de validación de proyección de tokens de kube-apiserver. Cuando un pod solicita un token proyectado de ServiceAccount con varias declaraciones de audiencia, la evaluación de RBAC del servidor API combina incorrectamente conjuntos de permisos de diferentes ClusterRoleBindings.

Flujo del ataque

1. El atacante crea una especificación de pod con un token proyectado de ServiceAccount que contiene valores de audiencia manipulados
2. La API TokenRequest genera un token con declaraciones de audiencia superpuestas
3. Cuando este token se utiliza para la autenticación mediante la API, el evaluador de RBAC resuelve incorrectamente enlaces de ClusterRoles no relacionados
4. Esto otorga permisos efectivos de administrador del clúster al ServiceAccount del atacante

Evaluación del impacto

Este es uno de los peores escenarios posibles para la seguridad de Kubernetes:

• Compromiso total del clúster — acceso de lectura y escritura a todos los espacios de nombres, secretos y cargas de trabajo
• Movimiento lateral — acceso a otros clústeres mediante cuentas de servicio compartidas o identidades federadas
• Exfiltración de datos — acceso a todos los ConfigMaps y Secrets (incluidos los certificados TLS y las credenciales del proveedor de nube)
• Riesgo para la cadena de suministro — capacidad para modificar cargas de trabajo en ejecución, inyectar contenedores maliciosos o alterar canalizaciones de CI/CD

Proveedores de nube afectados

Remediación inmediata

1. Aplique el parche inmediatamente — actualice a la versión 1.29.15, 1.30.11 o 1.31.7
2. Audite los tokens de ServiceAccount — revise todas las configuraciones de tokens proyectados en busca de declaraciones de audiencia anómalas
3. Active los registros de auditoría — supervise las llamadas a la API TokenRequest con varias audiencias
4. Políticas de red — restrinja la comunicación entre los pods y el servidor API cuando sea posible
5. Rote las credenciales — asuma que existe un compromiso y rote todos los secretos del clúster si detecta actividad anómala

Detección

Busque estos indicadores de compromiso en sus registros de auditoría:

• Llamadas a TokenRequest con más de 2 valores de audiencia
• Sujetos system:serviceaccount inesperados en eventos de auditoría de ClusterRoleBinding
• Tokens de ServiceAccount utilizados desde direcciones IP fuera de los rangos CIDR habituales de los pods
• Aumento repentino de las operaciones de lectura de secretos desde espacios de nombres con pocos privilegios

---