Kubernetes RBAC-bypass (CVE-2026-1247): cluster-admin-escalatie treft alle grote cloudproviders

Een kritieke RBAC-bypass in Kubernetes 1.29–1.31 stelt elke geauthenticeerde gebruiker in staat te escaleren naar cluster-admin via misvormde ServiceAccount-tokenprojectie. CVSS 9.1. Alle grote cloudproviders zijn getroffen. Patch onmiddellijk.

Samenvatting

Een kritieke kwetsbaarheid in Kubernetes RBAC (Role-Based Access Control) is ontdekt die elke geauthenticeerde gebruiker — inclusief gebruikers met minimale rechten — in staat stelt hun bevoegdheden te escaleren naar volledige cluster-admin-toegang. De fout bevindt zich in de manier waarop de API-server geprojecteerde ServiceAccount-tokens verwerkt met speciaal geprepareerde audience-claims.

Technische analyse

De kwetsbaarheid bevindt zich in de validatielogica voor tokenprojectie van de kube-apiserver. Wanneer een pod een geprojecteerd ServiceAccount-token aanvraagt met meerdere audience-claims, voegt de RBAC-evaluatie van de API-server onjuist rechtenverzamelingen van verschillende ClusterRoleBindings samen.

Aanvalsverloop

1. De aanvaller creëert een podspecificatie met een geprojecteerd ServiceAccount-token dat geprepareerde audience-waarden bevat
2. De TokenRequest-API genereert een token met overlappende audience-claims
3. Wanneer dit token wordt gebruikt voor API-authenticatie, lost de RBAC-evaluator bindingen van niet-gerelateerde ClusterRoles onjuist op
4. Dit resulteert in effectieve cluster-admin-rechten voor het ServiceAccount van de aanvaller

Impactbeoordeling

Dit is zo erg als het maar kan voor Kubernetes-beveiliging:

• Volledige clustercompromittering — lees-/schrijftoegang tot alle namespaces, secrets en workloads
• Laterale beweging — pivoteer naar andere clusters via gedeelde service-accounts of gefedereerde identiteit
• Data-exfiltratie — toegang tot alle ConfigMaps, Secrets (inclusief TLS-certificaten en cloudprovider-inloggegevens)
• Toeleveringsketenrisico — mogelijkheid om draaiende workloads te wijzigen, kwaadaardige containers te injecteren of CI/CD-pijplijnen te wijzigen

Getroffen cloudproviders

Onmiddellijke remediatie

1. Patch onmiddellijk — werk bij naar 1.29.15, 1.30.11 of 1.31.7
2. Audit ServiceAccount-tokens — controleer alle geprojecteerde tokenconfiguraties op afwijkende audience-claims
3. Schakel auditlogging in — monitor op TokenRequest-API-aanroepen met meerdere audiences
4. Netwerkbeleid — beperk pod-naar-API-server-communicatie waar mogelijk
5. Roteer inloggegevens — ga uit van compromittering en roteer alle clustergeheimen als u afwijkende activiteit detecteert

Detectie

Let op deze indicatoren van compromittering in uw auditlogs:

• TokenRequest-aanroepen met meer dan 2 audience-waarden
• Onverwachte system:serviceaccount-subjecten in ClusterRoleBinding-auditgebeurtenissen
• ServiceAccount-tokens die worden gebruikt vanaf IP-adressen buiten normale pod-CIDR-bereiken
• Plotselinge toename van leesbewerkingen van secrets vanuit namespaces met lage rechten