Rancher CVE-2026-88809・88811はHigh―meta proxyのSSRFと認証情報転送を修正

Rancherは2026年10月29日、管理画面などで外部APIを中継するmeta proxyの2件の脆弱性を公表しました。開発元のCVSS v4.0評価は、SSRFのCVE-2026-88809が7.1、認証情報転送のCVE-2026-88811が8.8で、いずれもHighです。

CVE-2026-88809は、許可されない宛先を検知しても通信を止めない不備です。認証済みユーザーがRancherサーバーから内部サービスへリクエストを送り、応答を得られます。特定のHTTP/1.1形式が直接届く経路が条件で、Ingress経由で遮断されても、クラスタ内Podからの直接接続経路を残したまま安全とは判断できません。

CVE-2026-88811では、外部への中継時に利用者自身のCookieや認証ヘッダーを除去しきれません。クラウド構築画面の通常操作でセッション情報が転送される場合があり、特定のAPI呼び出しではAPIトークンも対象です。受信側のサーバーやログへアクセスできる第三者に、利用者の権限を持つ資格情報が渡るおそれがあります。

対象は2.11〜2.15系の各修正版未満です。修正版は2.11.19、2.12.15、2.13.11、2.14.7、2.15.3。更新後はmeta proxyで使用した長期APIトークンを失効・再発行し、影響した可能性のある既存セッションを無効化します。ネットワーク制限は暫定的な露出低減であり、開発元は更新に代わる完全な回避策はないとしています。