Vulnerabilidade SSRF no Cluster Proxy Add-on
A Red Hat divulgou a CVE-2026-66794, uma vulnerabilidade de alta severidade de Server-Side Request Forgery (SSRF) que afeta o componente cluster-proxy-addon no Multicluster Engine for Kubernetes. A questão carrega uma pontuação CVSS v3.1 de 9.3 e poderia permitir que atacantes remotos não autenticados alcancem serviços inacessíveis que estão rodando em clusters Kubernetes gerenciados.
Mecanismo da Exploração
A vulnerabilidade existe em uma rota exposta pelo cluster proxy add-on. De acordo com a Red Hat, a rota não aplica corretamente autenticação e autorização antes de encaminhar solicitações. Um atacante que pode acessar esse endpoint pode manipular segmentos de URL para fazer o proxy enviar solicitações a serviços arbitrários em clusters gerenciados.
Este comportamento é classificado como CWE-918, ou SSRF. Em vez de atacar diretamente um serviço interno da internet, um atacante abusa do proxy vulnerável como intermediário. O proxy parece ser confiável pela infraestrutura interna, permitindo que solicitações atravessem limites que controles de rede, restrições de exposição de serviço ou segmentação de cluster normalmente protegeriam.
Impacto em Ambientes Multicluste
Em uma implantação multicluste Kubernetes, isso pode ser particularmente sério. Componentes do plano de gerenciamento frequentemente têm conectividade a serviços distribuídos em vários clusters gerenciados. Se exposto via uma rota vulnerável, atacantes podem acessar APIs internas, recuperar dados de aplicativos sensíveis, identificar endpoints internos alcançáveis ou interagir com serviços nunca destinados a estar disponíveis externamente.
Por exemplo, um atacante poderia manipular um caminho de solicitação para que o proxy afetado contate um serviço interno em um cluster gerenciado. Se esse serviço retornar dados de configuração, tokens, detalhes de depuração ou respostas de aplicativos sem exigir autenticação separada, o atacante pode obter informações úteis para intrusão adicional.
Avaliação de Risco e Mitigação
A Red Hat classificou o problema como Importante em vez de Crítico, apesar da pontuação CVSS de 9.3. Sua análise afirma que o impacto confirmado é SSRF não autenticado, não execução remota de código. O fornecedor identificou alto impacto de confidencialidade, baixo impacto de integridade e nenhum impacto de disponibilidade demonstrado.
Os componentes afetados são multicluster-engine/cluster-proxy-addon-rhel9 e multicluster-engine/cluster-proxy-rhel9 dentro do Multicluster Engine for Kubernetes. No momento da publicação, a Red Hat listou ambos como afetados e não identificou erratas de segurança associadas.
Organizações devem restringir imediatamente o acesso de rede à rota cluster-proxy-addon voltada para o usuário. A Red Hat recomenda aplicar regras de firewall ou controles de rede equivalentes para garantir que apenas redes confiáveis e fontes autorizadas possam se conectar à porta exposta.
Recomendações para Administradores
Administradores devem revisar a exposição da rota, inspecionar logs de acesso do proxy para padrões de caminho incomuns e identificar serviços internos sensíveis alcançáveis a partir do ambiente de gerenciamento. A segmentação de rede é crítica para limitar o acesso a interfaces de gerenciamento e provisionamento.
Equipes de segurança podem monitorar solicitações XML incomuns, conexões de saída inesperadas da infraestrutura BroadWorks e tentativas suspeitas de acessar arquivos locais ou serviços de rede interna.
Indicadores de Comprometimento (IoCs)
Embora não haja IoCs específicos de exploração confirmados, a monitoração deve focar em:
- Solicitações HTTP incomuns para a rota cluster-proxy-addon.
- Padrões de URL manipulados tentando acessar serviços internos.
- Conexões de saída de serviços de gerenciamento para IPs externos não autorizados.
A atualização para a versão corrigida é a mitigação definitiva. Até lá, o isolamento de rede é a única proteção eficaz contra exploração remota.