[TLP:CLEAR] Rancher opravuje vysoce závažnou zranitelnost
Rancher verzemi 2.13.2, 2.12.6, 2.11.10 a 2.10.11 opravuje vysoce závažnou zranitelnost [1].
Neautentizovanému vzdálenému útočníkovi v pozici MITM je umožněno narušit TLS handshake, podvrhnout CA certifikát a neoprávněně získat citlivá data jako např. hlavičky Basic Auth. Zneužití zranitelnosti je možné pouze při použití příkazu 'login' s příznakem --skip-verify bez --cacert. Není-li okamžitá aktualizace na opravenou verzi možná, je pro dočasnou mitigaci rizika nutné při každém volání příkazu 'login' předávat CA certifikáty explicitně pomocí parametru --cacert [1].
Zranitelnost se nachází v produktu Rancher ve verzích (>=2.10.0 AND <2.10.11) OR (>=2.11.0 AND <2.11.10) OR (>=2.12.0 AND <2.12.6) OR (>=2.13.0 AND <2.13.2).
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-67601 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-295: Improper Certificate Validation at cwe.mitre.org
Zranitelnost byla veřejně oznámena 30. 1. 2026.
Za CESNET-CERTS Michaela Ručková dne 2. 2. 2026.
