--- title: "SUSE Rancher Fleet に kubeconfig シークレットの参照制限不備 CVE-2026-94290（CVSS v3.1 9.1）: 一般ユーザーの Fleet 定義が管理クラスタの権限で動くおそれ、0.16.3 などで修正" url: https://n-t-p.io/worldsecurity/articles/suse-rancher-fleet-kubeconfig-secret-reference-privilege-escalation-cve-2026-94290 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-94290 --- # SUSE Rancher Fleet に kubeconfig シークレットの参照制限不備 CVE-2026-94290（CVSS v3.1 9.1）: 一般ユーザーの Fleet 定義が管理クラスタの権限で動くおそれ、0.16.3 などで修正 > **TL;DR:** SUSE Rancher Fleet で kubeconfig シークレットの参照制限が不十分なため、一般ユーザーの Fleet クラスタが管理クラスタの管理者資格情報に結び付き、Fleet コンテンツが昇格した権限で動くおそれ（CVE-2026-94290、CWE-250）。CVSS v3.1 9.1（SUSE 評価、PR:H）、KEV なし、EPSS は未算定。Fleet 0.16.3・0.15.8・0.14.12・0.13.17 で修正。 **要点** - SUSE Rancher Fleet に、kubeconfig シークレットの参照制限が不十分で、一般ユーザーの Fleet クラスタが管理クラスタの管理者資格情報に結び付く問題がある（CVE-2026-94290、CWE-250） - 成立には、一般ユーザーが Fleet クラスタを定義できる名前空間を持つことが必要。管理クラスタの権限でユーザーの Fleet コンテンツが動くおそれがある - CVSS v3.1 9.1（必要な権限は高、スコープ変更あり。SUSE 評価）。NVD は Received で分析は未実施 - KEV 掲載なし。EPSS は未算定。Fleet 0.16.3・0.15.8・0.14.12・0.13.17 で修正（Rancher と一緒に更新） - 修正後は別の名前空間のシークレットにラベルが必要になる場合がある。悪用の有無と導入状況は未確認 NVD は 2026-11-02 に、SUSE Rancher Fleet の kubeconfig シークレット参照に関する権限昇格 CVE-2026-94290 を登録しました。Fleet のコントローラは、対象クラスタに Fleet エージェントを導入・管理するために kubeconfig シークレットを使います。このとき、Fleet の Cluster オブジェクトがどのシークレットを参照してよいかを十分に制限していませんでした。そのため、一般ユーザーが管理する名前空間に作った Fleet クラスタが管理クラスタ自身の管理者資格情報に結び付けられ、コントローラがそのユーザーに代わって管理クラスタを管理し、ユーザーの Fleet コンテンツを昇格した権限で実行するおそれがあります。 ## 何が起きるか - **種類（CWE-250）**: 不要に高い権限で処理が実行される問題です。参照できるシークレットの範囲が広すぎることが原因です。 - **成立する条件**: 一般ユーザーが Fleet クラスタを定義できる名前空間を持っていることです。CVSS v3.1 では必要な権限が高（PR:H）とされており、認証なしで成立する問題ではありません。 - **影響**: 管理クラスタの管理者権限でユーザーの Fleet コンテンツが動くため、管理クラスタ全体の機密性・完全性・可用性に及びます（スコープ変更あり）。 - **評価**: CVSS v3.1 は 9.1（CRITICAL、AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H）です。NVD 自身の分析は未実施（Received）で、この値はこの CVE を登録した SUSE によるものです。 - **影響範囲**: Fleet 0.16.0 以上 0.16.3 未満、0.15.0 以上 0.15.8 未満、0.14.0 以上 0.14.12 未満、0.13.0 以上 0.13.17 未満です（それ以前の版も影響する可能性があります）。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-94290 | | CVSS v3.1（SUSE） | 9.1（CRITICAL） | | CWE | CWE-250 | | NVD の状態 | Received（NVD 自身の分析は未実施） | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし | | 修正版 | Fleet 0.16.3・0.15.8・0.14.12・0.13.17。組み合わせる Rancher は 2.15.3・2.14.7・2.13.11・2.12.15（ベンダー勧告） | | 出典 | NVD、ベンダーのセキュリティ勧告（GHSA-qfmw-gw96-ffcr） | ## severity を high とした理由 ネットワーク越しで影響は管理クラスタ全体に及びますが、成立には一般ユーザーとして Fleet クラスタを定義できる権限が必要で、認証なしでは成立しません。過去の判断の基準（認証不要かつ CVSS 9 以上を critical、それ未満は high）に照らし、認証が要るため high としています。CVSS v3.1 の 9.1 は参考値です。 ## 対応として考えられること 1. 利用中の Rancher と Fleet の版を確認します。 2. 修正版（Fleet 0.16.3・0.15.8・0.14.12・0.13.17、Rancher 2.15.3・2.14.7・2.13.11・2.12.15）へ、Rancher と同梱の Fleet を一緒に更新します。ベンダー勧告は、互換性のため両者を一緒に上げるよう案内しています。 3. 更新後は、別の名前空間のシークレットを参照する Cluster（例えば手動で登録したクラスタ）が、シークレットに専用のラベルを付けるまで取り込まれなくなる点に注意します。ラベルの付け方はベンダー勧告に従います。 4. すぐに更新できない場合、ベンダー勧告は、一般ユーザーに Fleet ワークスペースを作る権限（management.cattle.io の fleetworkspaces への create）を既定で与えない運用を挙げています。ただし利用者のセルフサービス機能を外すことになるため、テナント設計に合うか確認してから適用します。 5. 互換のための一時的な設定は保護を弱めるため、対象のシークレットにラベルを付けるまでの間に限って使います（ベンダー勧告）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 製品の導入状況や、影響を受ける構成の件数は確認できていません。 - NVD の分析は未実施で、CVSS は SUSE の評価です。 - 0.13 より前の版が影響を受けるかは、NVD の記載では「可能性がある」とされるだけで、確認できていません。 ## 出典 - [NVD CVE-2026-94290](https://nvd.nist.gov/vuln/detail/CVE-2026-94290) — NIST NVD - [Fleet セキュリティ勧告 GHSA-qfmw-gw96-ffcr](https://github.com/rancher/fleet/security/advisories/GHSA-qfmw-gw96-ffcr) — SUSE Rancher Fleet - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-94290) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/suse-rancher-fleet-kubeconfig-secret-reference-privilege-escalation-cve-2026-94290