--- title: "SUSE Rancher Manager のメタプロキシが Rancher の認証情報を外部ホストへ転送 CVE-2026-88811（CVSS v3.1 9.1）: 2.15.3・2.14.7・2.13.11・2.12.15・2.11.19 で修正" url: https://n-t-p.io/worldsecurity/articles/suse-rancher-manager-meta-proxy-credential-leak-third-party-hosts-cve-2026-88811 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-88811 --- # SUSE Rancher Manager のメタプロキシが Rancher の認証情報を外部ホストへ転送 CVE-2026-88811（CVSS v3.1 9.1）: 2.15.3・2.14.7・2.13.11・2.12.15・2.11.19 で修正 > **TL;DR:** SUSE Rancher Manager のメタプロキシが、外部のクラウド事業者向けホストへ要求を転送する際に、利用者の Rancher のセッション情報や API トークンを取り除かず送ってしまうおそれ（CVE-2026-88811、CWE-200・201）。既定の構成でも、該当の作成画面を開くだけで成立。CVSS v3.1 9.1、KEV なし、EPSS は未算定。2.15.3・2.14.7・2.13.11・2.12.15・2.11.19 で修正。 **要点** - SUSE Rancher Manager のメタプロキシは、許可リストの外部ホストへ要求を転送するとき、利用者の Rancher の認証情報（セッション情報や API トークン）を取り除いておらず、そのホストへ送られるおそれがある（CVE-2026-88811） - 既定の構成でも、EC2・DigitalOcean・Linode・phoenixNAP などの作成画面を開く通常の操作で成立する。受け取ったホスト側は、利用者の権限（管理者なら管理基盤とクラスタ）を持つ有効な認証情報を得る - CVSS v3.1 9.1（認証不要・ユーザー操作不要。SUSE が付与）。NVD は Received で分析は未実施。ベンダー勧告の評価は High。KEV 掲載なし、EPSS は未算定 - 修正版は 2.15.3・2.14.7・2.13.11・2.12.15・2.11.19。更新後は、プロキシ経由で使った API トークンを回し、セッションを無効にして再ログインさせる。完全な回避策はない - 悪用の有無と導入状況は未確認 NVD は 2026-11-02 に、SUSE Rancher Manager の脆弱性 CVE-2026-88811 を登録しました。対象は、Rancher の画面がクラウド事業者の API（リージョン・サイズ・イメージの一覧など）を利用者の代わりに問い合わせるための「メタプロキシ」です。このプロキシは、外部のホストへ要求を転送するときに、呼び出した利用者自身の Rancher の認証情報を取り除いていませんでした。そのため、ログイン中の利用者のセッション情報や API トークンが、要求といっしょに外部のホストへ送られるおそれがあります。 ## 何が起きるか - **種類（CWE-200・CWE-201）**: 送信するデータに機微な情報（Rancher の認証情報）が紛れ込み、権限のない相手に渡る問題です。 - **漏れるもの**: 1 つ目は、ブラウザでログインしている利用者のセッションの認証情報です。クラウドの認証情報を使う作成画面（ベンダー勧告は Amazon EC2・DigitalOcean・Linode・phoenixNAP を例示）を開くと、通常の操作だけで外部のホストへ送られます。2 つ目は、ブラウザ以外のクライアントが Rancher の API トークンでプロキシを呼び、認証情報の選択用のヘッダを付けない場合のトークンです。Rancher の画面はこの呼び方をしません。 - **送り先**: 転送できるホストは、インストールごとの許可リストに限られます。`whitelist-domain` の設定、クラスタ・ノードドライバーが挙げるドメイン、2.14 以降では `ProxyEndpoint` リソースです。既定は `forums.rancher.com` と、組み込みのクラウド事業者の公開 API です。独自のドライバーや追加のエンドポイントを設定していれば、その分だけ増えます。 - **影響**: 受け取ったホストの運営者、そのログ、手前にある TLS を終端する中継装置などが、利用者の権限を持つ有効な Rancher の認証情報を得ます。管理者権限であれば、Rancher の管理基盤と、Rancher が管理するクラスタに届くおそれがあります。API トークンは長期間有効なことがあり、露出の期間も長くなります。 - **前提**: 既定の構成でも、利用者が該当の作成画面を開いた時点で成立します。ベンダー勧告によると、有効にすべき特別な機能はなく、Rancher への攻撃行為も要りません。 - **評価**: CVSS v3.1 は 9.1（CRITICAL、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）です。この値は NVD ではなく SUSE（CNA）が付けたもの（種別 Secondary）で、NVD 自身の分析は未実施（Received）です。ベンダー勧告の評価は High です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 影響範囲と修正版 | 系統 | 影響を受ける版 | 修正版 | |---|---|---| | 2.15 | 2.15.0 以上 2.15.3 未満 | 2.15.3 | | 2.14 | 2.14.0 以上 2.14.7 未満 | 2.14.7 | | 2.13 | 2.13.0 以上 2.13.11 未満 | 2.13.11 | | 2.12 | 2.12.0 以上 2.12.15 未満 | 2.12.15 | | 2.11 | 2.11.0 以上 2.11.19 未満 | 2.11.19 | NVD の説明文は 2.13.11 のところで途切れており、2.12・2.11 の系統はベンダー勧告（GHSA）の記載で確認しました。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-88811 | | CVSS v3.1 | 9.1（CRITICAL。種別 Secondary、CNA は SUSE） | | CWE | CWE-200、CWE-201 | | NVD の状態 | Received（NVD 自身の分析は未実施） | | NVD 公開日 | 2026-11-02 | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし（CISA の SSVC は exploitation: none、automatable: yes、technical impact: total） | | 出典 | NVD、ベンダー勧告（GHSA-x82x-2qj6-5rm2）、FIRST（EPSS）、CISA（KEV・SSVC） | ## severity を critical とした提案の理由 認証なし（PR:N）で、ネットワーク越しに成立し、CVSS v3.1 が 9 以上（9.1）です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に当てはまるため、critical を提案します。ただし、ベンダー勧告の評価は High で、実際に認証情報を受け取るのは許可リストにあるホストの側です。既定のホストは公開されたクラウド事業者の API なので、独自のドライバーや追加のエンドポイントを設定している環境ほど影響が大きくなります。 ## 対応として考えられること 1. Rancher の版を確認し、系統ごとの修正版（2.15.3・2.14.7・2.13.11・2.12.15・2.11.19）以降へ更新します（ベンダー勧告）。 2. 更新後は、プロキシ経由で転送された可能性のある Rancher の認証情報を、漏れた可能性があるものとして扱います。長期間有効な API トークンのうち、メタプロキシに対して使ったものは回すか削除し、既存の利用者のセッションを無効にして再ログインさせます（ベンダー勧告）。 3. すぐに更新できない場合、完全な回避策はありません。被害を減らす手段として、ベンダー勧告は次を挙げています。許可リスト（`whitelist-domain`、独自ドライバーのドメイン、2.14 以降の `ProxyEndpoint`）から不要なホストを外すこと。EC2・DigitalOcean・Linode・phoenixNAP の作成画面の代わりに、API や `kubectl` でクラウド認証情報・ノードテンプレート・マシン構成を作ること。API クライアントが API トークンでプロキシを呼ぶときは `X-API-Auth-Header` も付けること。`auth-user-session-ttl-minutes` と `auth-token-max-ttl-minutes` を短くし、管理者権限の長期トークンを避けること。なお、組み込みドライバーのホストは Rancher の起動時に復元されるため、この方法では外せません。 4. 修正後は、プロキシが利用者の認証情報を外部へ転送しなくなります。自前の API クライアントが、外部ホスト向けの `Authorization` ヘッダをそのまま通すことに頼っていた場合は、その値を `X-API-Auth-Header` に入れて送る必要があります（ベンダー勧告）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません（CISA の SSVC の評価は exploitation: none ですが、公開直後の時点の評価です）。 - 製品の導入状況や、影響を受ける構成の件数は確認できていません。 - NVD の分析は未実施です。 - 許可リストのホストが実際に認証情報を記録・悪用した例は確認していません。 ## 出典 - [NVD CVE-2026-88811](https://nvd.nist.gov/vuln/detail/CVE-2026-88811) — NIST NVD - [Rancher セキュリティ勧告 GHSA-x82x-2qj6-5rm2](https://github.com/rancher/rancher/security/advisories/GHSA-x82x-2qj6-5rm2) — SUSE Rancher - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-88811) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/suse-rancher-manager-meta-proxy-credential-leak-third-party-hosts-cve-2026-88811