SUSE Rancher Manager のメタプロキシが Rancher の認証情報を外部ホストへ転送 CVE-2026-88811（CVSS v3.1 9.1）: 2.15.3・2.14.7・2.13.11・2.12.15・2.11.19 で修正

NVD は 2026-11-02 に、SUSE Rancher Manager の脆弱性 CVE-2026-88811 を登録しました。対象は、Rancher の画面がクラウド事業者の API（リージョン・サイズ・イメージの一覧など）を利用者の代わりに問い合わせるための「メタプロキシ」です。このプロキシは、外部のホストへ要求を転送するときに、呼び出した利用者自身の Rancher の認証情報を取り除いていませんでした。そのため、ログイン中の利用者のセッション情報や API トークンが、要求といっしょに外部のホストへ送られるおそれがあります。

何が起きるか

• 種類（CWE-200・CWE-201）: 送信するデータに機微な情報（Rancher の認証情報）が紛れ込み、権限のない相手に渡る問題です。
• 漏れるもの: 1 つ目は、ブラウザでログインしている利用者のセッションの認証情報です。クラウドの認証情報を使う作成画面（ベンダー勧告は Amazon EC2・DigitalOcean・Linode・phoenixNAP を例示）を開くと、通常の操作だけで外部のホストへ送られます。2 つ目は、ブラウザ以外のクライアントが Rancher の API トークンでプロキシを呼び、認証情報の選択用のヘッダを付けない場合のトークンです。Rancher の画面はこの呼び方をしません。
• 送り先: 転送できるホストは、インストールごとの許可リストに限られます。whitelist-domain の設定、クラスタ・ノードドライバーが挙げるドメイン、2.14 以降では ProxyEndpoint リソースです。既定は forums.rancher.com と、組み込みのクラウド事業者の公開 API です。独自のドライバーや追加のエンドポイントを設定していれば、その分だけ増えます。
• 影響: 受け取ったホストの運営者、そのログ、手前にある TLS を終端する中継装置などが、利用者の権限を持つ有効な Rancher の認証情報を得ます。管理者権限であれば、Rancher の管理基盤と、Rancher が管理するクラスタに届くおそれがあります。API トークンは長期間有効なことがあり、露出の期間も長くなります。
• 前提: 既定の構成でも、利用者が該当の作成画面を開いた時点で成立します。ベンダー勧告によると、有効にすべき特別な機能はなく、Rancher への攻撃行為も要りません。
• 評価: CVSS v3.1 は 9.1（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）です。この値は NVD ではなく SUSE（CNA）が付けたもの（種別 Secondary）で、NVD 自身の分析は未実施（Received）です。ベンダー勧告の評価は High です。
• 攻撃の具体的な手順は、本記事では扱いません。

影響範囲と修正版

系統	影響を受ける版	修正版
2.15	2.15.0 以上 2.15.3 未満	2.15.3
2.14	2.14.0 以上 2.14.7 未満	2.14.7
2.13	2.13.0 以上 2.13.11 未満	2.13.11
2.12	2.12.0 以上 2.12.15 未満	2.12.15
2.11	2.11.0 以上 2.11.19 未満	2.11.19

NVD の説明文は 2.13.11 のところで途切れており、2.12・2.11 の系統はベンダー勧告（GHSA）の記載で確認しました。

数値と出典（2026-11-03 時点）

項目	内容
CVE	CVE-2026-88811
CVSS v3.1	9.1（CRITICAL。種別 Secondary、CNA は SUSE）
CWE	CWE-200、CWE-201
NVD の状態	Received（NVD 自身の分析は未実施）
NVD 公開日	2026-11-02
EPSS	未算定（FIRST の API に該当データなし）
KEV	掲載なし（CISA の SSVC は exploitation: none、automatable: yes、technical impact: total）
出典	NVD、ベンダー勧告（GHSA-x82x-2qj6-5rm2）、FIRST（EPSS）、CISA（KEV・SSVC）

severity を critical とした提案の理由

認証なし（PR:N）で、ネットワーク越しに成立し、CVSS v3.1 が 9 以上（9.1）です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に当てはまるため、critical を提案します。ただし、ベンダー勧告の評価は High で、実際に認証情報を受け取るのは許可リストにあるホストの側です。既定のホストは公開されたクラウド事業者の API なので、独自のドライバーや追加のエンドポイントを設定している環境ほど影響が大きくなります。

対応として考えられること

1. Rancher の版を確認し、系統ごとの修正版（2.15.3・2.14.7・2.13.11・2.12.15・2.11.19）以降へ更新します（ベンダー勧告）。
2. 更新後は、プロキシ経由で転送された可能性のある Rancher の認証情報を、漏れた可能性があるものとして扱います。長期間有効な API トークンのうち、メタプロキシに対して使ったものは回すか削除し、既存の利用者のセッションを無効にして再ログインさせます（ベンダー勧告）。
3. すぐに更新できない場合、完全な回避策はありません。被害を減らす手段として、ベンダー勧告は次を挙げています。許可リスト（whitelist-domain、独自ドライバーのドメイン、2.14 以降の ProxyEndpoint）から不要なホストを外すこと。EC2・DigitalOcean・Linode・phoenixNAP の作成画面の代わりに、API や kubectl でクラウド認証情報・ノードテンプレート・マシン構成を作ること。API クライアントが API トークンでプロキシを呼ぶときは X-API-Auth-Header も付けること。auth-user-session-ttl-minutes と auth-token-max-ttl-minutes を短くし、管理者権限の長期トークンを避けること。なお、組み込みドライバーのホストは Rancher の起動時に復元されるため、この方法では外せません。
4. 修正後は、プロキシが利用者の認証情報を外部へ転送しなくなります。自前の API クライアントが、外部ホスト向けの Authorization ヘッダをそのまま通すことに頼っていた場合は、その値を X-API-Auth-Header に入れて送る必要があります（ベンダー勧告）。

未確認の点

• 実際の攻撃での悪用は確認していません（CISA の SSVC の評価は exploitation: none ですが、公開直後の時点の評価です）。
• 製品の導入状況や、影響を受ける構成の件数は確認できていません。
• NVD の分析は未実施です。
• 許可リストのホストが実際に認証情報を記録・悪用した例は確認していません。