Kubernetes RBAC Bypass (CVE-2026-1247): a escalada para administrador do cluster afeta todos os principais provedores de nuvem

Um desvio crítico de RBAC em Kubernetes 1.29–1.31 permite que qualquer usuário autenticado escale para cluster-admin por meio de projeção de token ServiceAccount malformado. CVSS 9.1. Todos os principais provedores de nuvem afetados. Aplique o patch imediatamente.

---

Sumário executivo

Foi descoberta uma vulnerabilidade crítica em Kubernetes RBAC (controle de acesso baseado em função) que permite que qualquer usuário autenticado – incluindo aqueles com permissões mínimas – aumente seus privilégios para acesso total de administrador de cluster. A falha existe na forma como o servidor API processa tokens ServiceAccount projetados com declarações de audiência especialmente criadas.

Análise Técnica

A vulnerabilidade está na lógica de validação da projeção de tokens do kube-apiserver. Quando um pod solicita um token ServiceAccount projetado com várias declarações de audiência, a avaliação RBAC do servidor de API combina incorretamente conjuntos de permissões de diferentes ClusterRoleBindings.

Fluxo de ataque

1. O invasor cria uma especificação de pod com um token ServiceAccount projetado contendo valores de público criados
2. A API TokenRequest gera um token com declarações de audiência sobrepostas
3. Quando esse token é usado para autenticação na API, o avaliador RBAC resolve incorretamente ligações de ClusterRoles não relacionados
4. Isso resulta em permissões efetivas de administrador de cluster para a ServiceAccount do invasor

Avaliação de impacto

Isso é o pior possível para a segurança Kubernetes:

• Comprometimento total do cluster — acesso de leitura/gravação a todos os namespaces, segredos e cargas de trabalho
• Movimento lateral — migrar para outros clusters por meio de contas de serviço compartilhadas ou identidade federada
• Exfiltração de dados — acesso a todos os ConfigMaps, segredos (incluindo certificados TLS e credenciais de provedor de nuvem)
• Risco da cadeia de suprimentos — capacidade de modificar cargas de trabalho em execução, injetar contêineres maliciosos ou alterar pipelines de CI/CD

Provedores de nuvem afetados

Remediação Imediata

1. Aplique o patch imediatamente — atualize para 1.29.15, 1.30.11 ou 1.31.7
2. Audite os tokens de ServiceAccount — revisar todas as configurações de token projetadas para reivindicações de público anômalas
3. Ative os logs de auditoria — monitore chamadas da API TokenRequest com várias audiências
4. Políticas de rede — restrinja a comunicação do pod com o servidor de API sempre que possível
5. Rotacione as credenciais — assuma o compromisso e alterne todos os segredos do cluster se você detectar atividade anômala

Detecção

Procure estes indicadores de comprometimento em seus registros de auditoria:

• Chamadas TokenRequest com mais de 2 valores de audiência
• Identidades system:serviceaccount inesperadas em eventos de auditoria de ClusterRoleBinding
• Tokens ServiceAccount utilizados a partir de endereços IP fora dos intervalos CIDR normais do pod
• Aumento repentino nas operações de leitura de segredos de namespaces de baixo privilégio

---