事件背景与影响
近期，SUSE Rancher 官方发布安全通告，披露了编号为 CVE-2026-41050 的关键漏洞。该漏洞影响了广泛应用于 Kubernetes 集群管理的 GitOps 工具——Rancher Fleet。
从我们的应急响应经验来看，作为云原生基础设施的核心组件，Fleet 的失陷意味着整个集群的“控制平面”门户大开。该漏洞直接破坏了平台的多租户隔离机制，攻击者能够利用该漏洞在共享环境中实现越权，获取集群管理员（Cluster-Admin）权限，进而窃取敏感数据甚至横向渗透至云底座。
攻击链深度解析
本次漏洞的核心在于 Rancher Fleet 的 Helm 部署器未能正确执行 ServiceAccount 模拟（Impersonation）。在正常的安全设计中，租户的操作应被限制在特定权限内，但由于该缺陷，系统在处理特定指令时会默认使用高权限的 fleet-agent 身份。
攻击者主要通过以下两种方式触发提权：
第一种是利用 Helm 的 lookup 函数。当攻击者在 Git 仓库中提交包含恶意 Helm Chart 模板时，可以调用 lookup 函数查询集群资源。由于存在漏洞，Fleet 会以高权限身份执行查询，导致攻击者能够轻易读取 kube-system 等敏感命名空间下的 Secret（如管理员 Token）。
第二种是利用 Fleet.yaml 配置中的 valuesFrom 指令。攻击者可以构造恶意配置文件，通过该指令强制系统读取集群内任意命名空间的 Secret 或 ConfigMap。这一环节是很多企业容易忽视的，因为这类操作在日志中往往表现为正常的业务负载行为，导致传统的安全监控工具难以识别其恶意本质。
专家视角：为什么此类攻击难以察觉
类似攻击在近年来明显增加，其隐蔽性在于它利用了 DevOps 流程中“信任链”的缺失。在 GitOps 模式下，自动化工具往往被赋予了过高的权限，一旦工具本身存在逻辑缺陷，攻击者就可以通过“合法”的 Git 推送行为，将恶意指令注入流水线，从而绕过传统的边界防御。
对于企业而言，仅仅依赖防火墙或简单的入侵检测已不足够，必须深入到 Kubernetes 控制平面内部，对组件间的权限隔离进行严格审计。
安全建议与 Solar 经验
针对此次漏洞，我们建议受影响的企业立即采取以下行动：
首先，全面排查资产版本。Rancher Fleet 早期版本（0.11.13、0.12.14、0.13.10、0.14.5 之前）及多个 Rancher 发行版分支均受影响，请务必根据官方通告核对版本并进行补丁更新。
其次，收紧权限与审计。在完成补丁更新前，应立即禁用受信任度较低租户的 Git 仓库监控权限。同时，对现有的 Git 仓库进行代码扫描，重点排查是否存在 lookup 函数的滥用及 valuesFrom 的异常引用。
最后，开启 API Server 审计日志。通过开启 Kubernetes API 的严格审计，捕捉所有来自租户 Pod 的异常 Secret 读取行为。如果发现非法查询记录，应立即假设集群已被入侵，并执行全量密钥轮换（Secret Rotation）。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com