Red Hat ACM 修复五个严重漏洞，其中包括 CVSS 9.9 的 CVE-2026-72526 远程代码执行漏洞

sec随谈
sec随谈

sec随谈

2026年8月18日 12:58
北京

在小说阅读器读本章

去阅读

摘要

Red Hat 本周修复了 Advanced Cluster Management（ACM）中的五个严重漏洞。其中两个漏洞可导致 RHACM 在受管集群上实现远程代码执行，均获得 CVSS 9.9 的评分。另外三个漏洞则涉及令牌泄露或权限提升，评分在 9.6 到 9.9 之间。因此，管理员应立即进行修补。

为何重要

这些漏洞直击 Kubernetes 集群舰队管理的核心。RHACM 通过一个中心（hub）管理数千个分支（spoke）集群，因此中心节点上的单一漏洞就会威胁整个集群舰队。拥有基本租户权限的攻击者可以窃取令牌、劫持 GitOps 部署，或以管理员身份运行任务。这条通往 RHACM 远程代码执行的路径，能将一个微小的立足点转变为完全控制权。正因如此，多租户 RHACM 环境面临的风险最高。

攻击原理

通过 GitOpsCluster 窃取令牌（CVE-2026-70398）GitOpsCluster 控制器会将分支集群的令牌存储在安全位置。租户可以将该写入操作重定向到自己的命名空间，随后直接读取这些令牌。Red Hat 的安全公告确认，此漏洞还会绕过 ArgoCD 的 AppProject 检查。

清单劫持（CVE-2026-72526）应用传播控制器在未经检查的情况下信任一个 cluster-name 字段。因此，能在中心集群上创建应用的租户可以针对任意分支集群发起攻击，随后 ArgoCD 会同步攻击者控制的清单文件。Red Hat 的公告确认这会导致任意代码执行。

通过 ClusterCurator 获取集群范围访问权限（CVE-2026-73269）本地用户可以创建一个 name 与 namespace 不匹配的 ClusterCurator 资源。控制器随即会生成一个集群范围的 ClusterRoleBinding 作为响应。结果，该用户便能直接跃升至集群范围的控制权，Red Hat 对此予以说明。

任务注入（CVE-2026-73268）CreateJob 函数遗漏了一项关键验证步骤：它从未检查 spec.install.overrideJob 字段就直接使用。因此，拥有 ClusterCurator 更新权限的租户可以注入自定义任务（Job），该任务随后会以控制器自身的高级权限运行。Red Hat 的报告警告称，这会导致集群范围的密钥（secrets）暴露。

订阅功能中的\"受骗代理\"问题（CVE-2026-72508）application-manager 插件默认携带广泛的通配符权限。因此，命名空间管理员可以创建一个 Subscription 资源来滥用这一权限，进而在自己命名空间之外部署集群范围的资源。Red Hat 的声明将此称为\"受骗代理\"（confused-deputy）攻击。

受影响版本

这些漏洞影响 Red Hat Advanced Cluster Management 以及独立的 Multicluster Engine 产品，两者均在许多 OpenShift 环境中运行。Red Hat 尚未公开这两款产品的安装数量。目前没有任何消息源证实存在实际攻击活动，也没有针对这五个漏洞中任何一个的公开概念验证（PoC）代码。

补丁与缓解措施

Red Hat 已针对全部五个漏洞发布了修复版本，因此打补丁仍是最安全的解决方案。若无法立即修补，可尝试以下临时措施：