สรุปสั้น

บริษัท Red Hat เปิดเผยช่องโหว่ยกระดับสิทธิ์ที่ติดตามในรหัส CVE-2026-10090 ในคอมโพเนนต์ Application Subscription ของ Red Hat Advanced Cluster Management for Kubernetes หรือ ACM ซึ่งเป็นแพลตฟอร์มที่องค์กรใช้บริหารจัดการคลัสเตอร์ OpenShift และ Kubernetes จำนวนมากจากศูนย์กลางเดียว ช่องโหว่นี้ได้คะแนน CVSS สูงถึง 9.9 และเปิดทางให้ผู้ใช้ที่ถือสิทธิ์เพียงระดับ edit ในขอบเขตเนมสเปซเดียวบนฮับ ACM ยกระดับตัวเองขึ้นเป็นผู้ดูแลระบบระดับคลัสเตอร์ (cluster-admin) ได้เต็มรูปแบบ ซึ่งเท่ากับส่งมอบการควบคุมคลัสเตอร์ทั้งฟลีตที่ถูกจัดการอยู่ให้กับผู้ใช้สิทธิ์ต่ำภายในองค์กร

ต้นตอของปัญหาอยู่ที่คอมโพเนนต์ multicluster-operators-subscription ซึ่งเป็นเครื่องยนต์เบื้องหลังฟีเจอร์ Application Subscription ของ ACM โดยคอนโทรลเลอร์ตัวนี้ประมวลผลคำขอด้วยสิทธิ์ของเซอร์วิสแอ็กเคานต์ของตัวเองที่มีสิทธิ์สูง แทนที่จะใช้สิทธิ์จริงของผู้ที่ยื่นคำขอ ที่สำคัญคือมันไม่เคยตรวจสอบว่าผู้สร้าง Subscription ถือบทบาท open-cluster-management:subscription-admin จริงหรือไม่ และไม่จำกัดว่าทรัพยากรที่จะถูกติดตั้งต้องอยู่ในเนมสเปซของ Subscription นั้นเท่านั้น Red Hat จัดประเภทจุดอ่อนนี้เป็น CWE-267 หรือ Privilege Defined With Unsafe Actions และบันทึกไว้ในรายการ Bugzilla หมายเลข 2483292 ประเด็นที่ผู้ดูแลระบบต้องรับทราบคือ ณ เวลาที่รายงานเผยแพร่ ยังไม่มี errata ออกมา และ Red Hat ระบุว่ายังไม่มีมาตรการบรรเทาใดที่ผ่านเกณฑ์ด้านความง่ายในการติดตั้งและความเสถียรระยะยาวของบริษัท

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 10 สิงหาคม 2569 ว่า Red Hat ได้เปิดเผยช่องโหว่ยกระดับสิทธิ์ CVE-2026-10090 ที่กระทบคอนโทรลเลอร์ Application Subscription ใน Red Hat Advanced Cluster Management for Kubernetes โดยประกาศต้นทางของช่องโหว่อยู่บนหน้าฐานข้อมูล CVE ของ Red Hat เอง

จุดที่ต้องอ่านอย่างระมัดระวังคือการจัดระดับความรุนแรง Red Hat ให้ระดับความรุนแรงของช่องโหว่นี้ว่า Important ขณะที่คะแนน CVSS อยู่ที่ 9.9 ซึ่งตามเกณฑ์มาตรฐานทั่วไปถือเป็นระดับวิกฤต ความไม่ตรงกันนี้เกิดจากผู้ผลิตแต่ละรายมีเกณฑ์จัดระดับของตัวเองที่พิจารณาเงื่อนไขการใช้งานจริงประกอบ ผลในทางปฏิบัติคือองค์กรที่จัดลำดับงานแพตช์โดยดูเฉพาะป้ายระดับความรุนแรงของผู้ผลิต อาจให้ความสำคัญกับช่องโหว่นี้ต่ำกว่าที่ควร ทั้งที่ผลลัพธ์ของการโจมตีคือการยึดสิทธิ์ระดับสูงสุดของคลัสเตอร์

เงื่อนไขการโจมตีคือผู้โจมตีต้องมีบัญชีในระบบอยู่แล้วและถือสิทธิ์ระดับ edit ในเนมสเปซใดเนมสเปซหนึ่งบนฮับ ACM ซึ่งฟังดูเหมือนเป็นข้อจำกัด แต่ในทางปฏิบัติกลับเป็นจุดที่อันตรายที่สุด เพราะสิทธิ์ระดับ edit ในเนมสเปซของทีมตัวเองคือสิทธิ์ที่องค์กรมักแจกให้นักพัฒนาและทีมแอปพลิเคชันอย่างกว้างขวางเป็นเรื่องปกติ โดยถือว่าเป็นสิทธิ์ที่ปลอดภัยและถูกกักอยู่ในขอบเขตของทีมนั้น

ความรุนแรงของช่องโหว่นี้ยังหนักขึ้นเพราะมันขัดกับแบบจำลองความปลอดภัยที่ ACM เขียนไว้ในเอกสารของตัวเองโดยตรง เอกสารระบุว่าผู้ใช้ที่ไม่ใช่ subscription-admin ควรติดตั้งทรัพยากรได้เฉพาะภายในเนมสเปซของ Subscription ของตนเท่านั้น องค์กรที่พึ่งพา ACM ในการบังคับการแบ่งแยกแบบหลายผู้เช่า (multi-tenant separation) ระหว่างคลัสเตอร์ที่ฮับดูแลอยู่ จึงอาจกำลังเปิดคลัสเตอร์ทุกตัวให้ถูกยึดโดยไม่รู้ตัว

เนื่องจาก ACM ถูกนำไปใช้อย่างแพร่หลายในองค์กรขนาดใหญ่และหน่วยงานรัฐเพื่อกำกับดูแลฟลีตของคลัสเตอร์ OpenShift และ Kubernetes แบบรวมศูนย์ การโจมตีที่สำเร็จจึงลุกลามไกลเกินกว่าเนมสเปซเดียว ผู้โจมตีสามารถอ่านความลับ (secrets) แก้ไขเวิร์กโหลด หรือเคลื่อนที่ต่อไปยังทุกคลัสเตอร์ที่ลงทะเบียนกับฮับนั้นได้

แพ็กเกจที่ได้รับผลกระทบถูกระบุเป็น rhacm2/multicluster-operators-subscription-rhel9 ภายใต้ Red Hat Advanced Cluster Management for Kubernetes 2 โดยสถานะปัจจุบันคือ Affected และยังไม่มี errata ออกมา ทั้งนี้รายงานไม่ได้ระบุว่ามีการนำช่องโหว่นี้ไปใช้โจมตีจริงแล้วหรือไม่ ไม่ได้ระบุว่าเวอร์ชันย่อยใดบ้างที่ได้รับผลกระทบอย่างเจาะจง และไม่ได้ระบุกรอบเวลาที่จะมีแพตช์ออกมา ซึ่งเป็นข้อจำกัดของข้อมูลที่มีอยู่ในขณะนี้

รายละเอียดช่องโหว่

เส้นทางการโจมตีเริ่มจากผู้ใช้ที่มีสิทธิ์ edit พื้นฐานในเนมสเปซบนฮับ สร้างทรัพยากร Channel ที่ชี้ไปยัง Helm repository ที่ตนเองควบคุมอยู่ จากนั้นสร้างทรัพยากร Subscription ที่อ้างอิงถึง Channel นั้น เมื่อคอนโทรลเลอร์ app-subscription รับคำขอไปประมวลผล มันจะดำเนินการด้วยสิทธิ์ของเซอร์วิสแอ็กเคานต์ของตัวเองซึ่งมีสิทธิ์สูงกว่าผู้ยื่นคำขอมาก

หัวใจของปัญหาคือการตรวจสอบสิทธิ์ที่หายไปสองชั้น ชั้นแรกคือคอนโทรลเลอร์ไม่ตรวจว่าผู้สร้าง Subscription ถือบทบาท open-cluster-management:subscription-admin หรือไม่ ชั้นที่สองคือมันไม่จำกัดขอบเขตของทรัพยากรที่จะถูกติดตั้งให้อยู่เฉพาะในเนมสเปซของ Subscription นั้น เมื่อทั้งสองชั้นหายไปพร้อมกัน ผู้โจมตีจึงสามารถฝังอ็อบเจ็กต์ระดับคลัสเตอร์ไว้ใน Helm chart ที่เป็นอันตรายได้ โดยอ็อบเจ็กต์ที่ใช้ได้ผลที่สุดคือ ClusterRoleBinding ที่ผูกเซอร์วิสแอ็กเคานต์ของผู้โจมตีเองเข้ากับ ClusterRole ชื่อ cluster-admin ที่ระบบมีมาให้ในตัว

เมื่อคอนโทรลเลอร์นำชาร์ตนั้นไปติดตั้ง การผูกสิทธิ์ดังกล่าวจะถูกสร้างขึ้นด้วยสิทธิ์เต็มของคอนโทรลเลอร์ และผู้โจมตีจะกลายเป็นผู้ดูแลระบบระดับคลัสเตอร์ทันที กลไกนี้คือรูปแบบคลาสสิกของปัญหาที่เรียกว่า confused deputy คือการที่คอมโพเนนต์สิทธิ์สูงถูกใช้เป็นตัวแทนทำงานให้ผู้ร้องขอสิทธิ์ต่ำ โดยไม่ตรวจสอบก่อนว่าผู้ร้องขอมีสิทธิ์ทำสิ่งนั้นด้วยตัวเองหรือไม่ ซึ่งตรงกับการจัดประเภท CWE-267 ที่ Red Hat ระบุไว้

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือองค์กรที่ใช้ Red Hat Advanced Cluster Management เป็นฮับกลางในการบริหารคลัสเตอร์หลายตัว ยิ่งฮับหนึ่งดูแลคลัสเตอร์มากเท่าไร ความเสียหายจากการยึดสิทธิ์ครั้งเดียวก็ยิ่งขยายตัวมากเท่านั้น เพราะผู้โจมตีที่ได้ cluster-admin บนฮับสามารถเข้าถึงทุกคลัสเตอร์ที่ลงทะเบียนไว้ได้

สิ่งที่ทำให้ช่องโหว่นี้ต่างจากช่องโหว่ทั่วไปคือมันโจมตีสมมติฐานเรื่องขอบเขตความไว้วางใจโดยตรง องค์กรจำนวนมากออกแบบการแบ่งสิทธิ์บนคลัสเตอร์โดยถือว่าสิทธิ์ระดับ edit ในเนมสเปซคือสิทธิ์ที่ให้ได้อย่างเสรี เพราะเชื่อว่าถูกกักไว้ในกล่องของทีมนั้นแล้ว ช่องโหว่นี้ทำให้สมมติฐานดังกล่าวใช้ไม่ได้ และหมายความว่าจำนวนคนที่มีความสามารถยึดคลัสเตอร์ได้จริงในองค์กร อาจมากกว่าที่ผังสิทธิ์บนกระดาษระบุไว้หลายเท่า

ความเสี่ยงยังหนักขึ้นจากการที่ยังไม่มีแพตช์ออกมา และ Red Hat ระบุว่าไม่มีมาตรการบรรเทาที่ผ่านเกณฑ์ของบริษัท ช่วงเวลานี้จึงเป็นช่วงที่องค์กรต้องพึ่งการควบคุมเชิงกระบวนการและการเฝ้าระวังแทนการอุดช่องโหว่โดยตรง ทั้งนี้ต้องย้ำว่าการโจมตีต้องอาศัยผู้ที่มีบัญชีในระบบอยู่แล้ว ความเสี่ยงหลักจึงมาจากบุคคลภายในหรือบัญชีนักพัฒนาที่ถูกยึด มากกว่าการโจมตีจากอินเทอร์เน็ตโดยตรง

คำแนะนำ

  • ตรวจสอบทันทีว่าใครบ้างที่ถือสิทธิ์ระดับ edit ในขอบเขตเนมสเปซบนฮับ ACM แล้วตัดสิทธิ์ที่ไม่จำเป็นออก โดยเฉพาะบัญชีบริการและบัญชีที่ไม่มีเจ้าของชัดเจน
  • เฝ้าดูการสร้างทรัพยากร Channel และ Subscription อย่างใกล้ชิด โดยเน้นการอ้างอิง Helm repository ที่ไม่อยู่ในรายการที่อนุมัติไว้
  • จำกัดบทบาท subscription-admin ให้อยู่กับผู้ปฏิบัติงานที่เชื่อถือได้เท่านั้น
  • เปิดใช้นโยบาย admission control ที่บล็อกไม่ให้ทรัพยากรระดับคลัสเตอร์ถูกติดตั้งผ่าน Application Subscription เป็นมาตรการชดเชยระหว่างรอแพตช์ โดยเฉพาะ ClusterRoleBinding และ ClusterRole
  • ตรวจย้อนหลังว่ามี ClusterRoleBinding ใดที่ผูกเซอร์วิสแอ็กเคานต์เข้ากับ cluster-admin โดยไม่มีที่มาที่ไป และตรวจว่ามันถูกสร้างขึ้นโดยคอนโทรลเลอร์ Subscription หรือไม่
  • ติดตามหน้าฐานข้อมูล CVE ของ Red Hat สำหรับ CVE-2026-10090 เพื่อรับทราบเมื่อ errata ถูกปล่อยออกมา แล้วอัปเดตแพ็กเกจ rhacm2/multicluster-operators-subscription-rhel9 ทันที

แหล่งอ้างอิง