Contournement RBAC de Kubernetes (CVE-2026-1247) : l’élévation cluster-admin touche tous les grands fournisseurs cloud

Une faille critique du contrôle RBAC dans Kubernetes 1.29 à 1.31 permet à tout utilisateur authentifié d’obtenir les droits cluster-admin au moyen d’une projection malformée de jeton ServiceAccount. Score CVSS : 9,1. Tous les grands fournisseurs cloud sont concernés. Appliquez le correctif immédiatement.

---

Synthèse

Une vulnérabilité critique a été découverte dans le contrôle d’accès fondé sur les rôles (RBAC) de Kubernetes. Elle permet à tout utilisateur authentifié, même doté de permissions minimales, d’élever ses privilèges jusqu’à un accès cluster-admin complet. La faille réside dans le traitement, par le serveur API, des jetons ServiceAccount projetés dont les revendications d’audience ont été spécialement conçues.

Analyse technique

La vulnérabilité se situe dans la logique de validation de la projection des jetons de kube-apiserver (serveur API). Lorsqu’un pod demande un jeton ServiceAccount projeté comportant plusieurs revendications d’audience, l’évaluation RBAC du serveur API fusionne à tort les ensembles de permissions provenant de différents ClusterRoleBindings.

Déroulement de l’attaque

1. L’attaquant crée une spécification de pod avec un jeton ServiceAccount projeté contenant des valeurs d’audience forgées
2. L’API TokenRequest (demande de jeton) génère un jeton comportant des revendications d’audience qui se chevauchent
3. Lorsque ce jeton sert à l’authentification auprès de l’API, l’évaluateur RBAC résout à tort des liaisons issues de ClusterRoles sans rapport
4. Le ServiceAccount de l’attaquant obtient alors, de fait, les permissions cluster-admin

Évaluation de l’impact

Pour la sécurité de Kubernetes, le scénario est parmi les plus graves :

• Compromission complète du cluster — accès en lecture et en écriture à tous les espaces de noms, secrets et charges de travail
• Déplacement latéral — rebond vers d’autres clusters au moyen de comptes de service partagés ou d’une identité fédérée
• Exfiltration de données — accès à tous les ConfigMaps et Secrets, notamment les certificats TLS et les identifiants des fournisseurs cloud
• Risque pour la chaîne d’approvisionnement — possibilité de modifier les charges de travail actives, d’injecter des conteneurs malveillants ou d’altérer les pipelines CI/CD

Fournisseurs cloud concernés

Mesures correctives immédiates

1. Appliquez le correctif sans délai — effectuez la mise à niveau vers la version 1.29.15, 1.30.11 ou 1.31.7
2. Auditez les jetons ServiceAccount — examinez toutes les configurations de jetons projetés afin de repérer des revendications d’audience anormales
3. Activez la journalisation d’audit — surveillez les appels à l’API TokenRequest (demande de jeton) qui comportent plusieurs audiences
4. Appliquez des politiques réseau — limitez autant que possible les communications entre les pods et le serveur API
5. Renouvelez les identifiants — partez du principe qu’il y a eu compromission et renouvelez tous les secrets du cluster si vous détectez une activité anormale

Détection

Recherchez les indicateurs de compromission suivants dans vos journaux d’audit :

• Appels TokenRequest comportant plus de deux valeurs d’audience
• Sujets inattendus de type system:serviceaccount (compte de service système) dans les événements d’audit ClusterRoleBinding
• Jetons ServiceAccount utilisés depuis des adresses IP situées hors des plages CIDR habituelles des pods
• Hausse soudaine des opérations de lecture de secrets depuis des espaces de noms à faibles privilèges

---