Red Hat a publié une alerte concernant une vulnérabilité critique affectant Red Hat Advanced Cluster Management for Kubernetes (ACM). Référencée CVE-2026-10090, cette faille affecte le contrôleur Application Subscription, également connu sous le nom de multicluster-operators-subscription.
Le problème est particulièrement préoccupant dans les environnements où plusieurs équipes ou utilisateurs disposent de droits limités sur un même hub ACM. Un utilisateur bénéficiant simplement de privilèges « edit » au niveau d’un espace de noms pourrait exploiter le contrôleur d’abonnement pour obtenir finalement les privilèges cluster-admin sur le cluster.
Red Hat attribue à cette vulnérabilité un score CVSS v3.1 de 9,9, avec un vecteur AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
Les détails officiels sont disponibles dans la fiche CVE-2026-10090 publiée par Red Hat, qui constitue la principale référence à consulter pour suivre l’évolution du correctif.
Un problème situé dans le contrôleur d’abonnement aux applications
La vulnérabilité se trouve dans le composant multicluster-operators-subscription, chargé de gérer les abonnements aux applications dans Red Hat Advanced Cluster Management.
Dans le fonctionnement normal d’ACM, les permissions d’un utilisateur doivent déterminer les ressources qu’il est autorisé à déployer. La documentation d’ACM prévoit notamment que les utilisateurs qui ne disposent pas du rôle d’administrateur d’abonnement ne doivent pas pouvoir déployer librement des ressources en dehors de leur espace de noms.
Le problème identifié par Red Hat intervient lorsque le contrôleur traite certaines ressources Channel et Subscription.
Un utilisateur disposant de permissions d’édition limitées dans un espace de noms du hub peut créer une ressource Channel pointant vers un dépôt Helm qu’il contrôle, puis créer une Subscription faisant référence à ce canal.
La documentation officielle de Red Hat Advanced Cluster Management pour Kubernetes permet de retrouver le fonctionnement général de ces mécanismes d’abonnement et de déploiement d’applications.
Le contrôleur utilise des privilèges supérieurs à ceux de l’utilisateur
C’est à ce niveau que se trouve le problème de sécurité.
Selon Red Hat, le contrôleur d’abonnement récupère puis applique le contenu du graphique Helm avec ses propres privilèges élevés, sans vérifier correctement si l’utilisateur à l’origine de la Subscription possède le rôle :
open-cluster-management:subscription-admin
Le contrôleur ne limite pas non plus suffisamment les ressources qui peuvent être déployées au seul espace de noms de la Subscription.
Cette combinaison crée une différence importante entre les privilèges réels de l’utilisateur et ceux utilisés par le composant qui exécute son abonnement.
Autrement dit, un utilisateur qui ne possède normalement que des droits limités peut faire traiter certaines ressources par un composant bénéficiant de privilèges beaucoup plus importants.
Comment la faille peut conduire à cluster-admin
L’exploitation repose notamment sur la possibilité d’inclure dans un graphique Helm des ressources Kubernetes dont la portée dépasse celle de l’espace de noms de l’utilisateur.
Parmi les ressources concernées figure notamment ClusterRoleBinding.
Un attaquant pourrait ainsi construire un graphique contenant une liaison entre son propre ServiceAccount et le rôle intégré cluster-admin.
Lorsque le contrôleur d’abonnement traite et applique cette ressource avec ses privilèges élevés, le compte contrôlé par l’attaquant peut obtenir les autorisations administratives correspondantes.
Red Hat indique explicitement qu’une exploitation réussie peut conduire à une élévation complète vers le privilège cluster-admin.
Pour les administrateurs Kubernetes, le rôle cluster-admin représente un niveau de privilège particulièrement sensible puisqu’il permet d’administrer l’ensemble des ressources du cluster.
Une faille qui remet en cause l’isolation entre espaces de noms
L’impact de CVE-2026-10090 est particulièrement important dans les environnements où ACM est utilisé pour fournir une forme de séparation entre plusieurs équipes.
Le principe d’une gestion multi-cluster consiste notamment à centraliser l’administration de plusieurs clusters depuis un hub. Red Hat indique que les versions actuelles d’ACM s’appuient sur un hub cluster pour fournir les capacités de gestion, tandis que les clusters gérés sont administrés depuis cette infrastructure centrale.
Dans ce contexte, une élévation de privilèges depuis un simple espace de noms peut potentiellement transformer un problème local en compromission beaucoup plus large.
Un attaquant qui obtient cluster-admin pourrait notamment avoir la possibilité de :
- accéder à des ressources auxquelles il n’avait normalement pas accès ;
- modifier des workloads Kubernetes ;
- consulter ou manipuler des secrets ;
- modifier des configurations ;
- créer ou supprimer des ressources ;
- compromettre davantage le cluster concerné.
La gravité exacte dépend toutefois de la configuration de chaque environnement et des contrôles supplémentaires mis en place par l’organisation.
CVE-2026-10090 : un score CVSS de 9,9
Red Hat classe officiellement cette vulnérabilité comme Important tout en lui attribuant un score CVSS v3.1 de 9,9. Le vecteur publié par Red Hat indique notamment une exploitation possible à distance avec un faible niveau de privilèges, sans interaction de l’utilisateur, et avec des impacts élevés sur la confidentialité, l’intégrité et la disponibilité.
| Élément | Information |
|---|---|
| CVE | CVE-2026-10090 |
| Produit | Red Hat Advanced Cluster Management for Kubernetes |
| Composant | multicluster-operators-subscription |
| Type | Élévation de privilèges |
| CVSS v3.1 | 9,9 |
| Privilèges requis | Faibles |
| Interaction utilisateur | Aucune |
| Impact | Confidentialité, intégrité et disponibilité élevées |
| CWE | CWE-267 |
| Bugzilla | 2483292 |
La classification CWE-267 – Privilege Defined With Unsafe Actions est également indiquée par Red Hat.
La description officielle de cette faiblesse peut être consultée sur la page correspondante du CWE de MITRE.
Une vulnérabilité signalée par North Echo Security
Red Hat indique que la vulnérabilité a été signalée par Christopher Lusk de North Echo Security. Le problème est également référencé dans Bugzilla sous le numéro 2483292.
Le rapport Bugzilla 2483292 de Red Hat décrit notamment le scénario dans lequel un utilisateur disposant uniquement de droits d’édition dans un espace de noms peut déployer une ressource ClusterRoleBinding et obtenir le rôle cluster-admin.
Cette référence est particulièrement intéressante pour les équipes de sécurité qui souhaitent suivre les éléments techniques et l’évolution du traitement de la vulnérabilité.
Aucun mécanisme de mitigation officiel actuellement disponible
Un autre élément important concerne les mesures de protection temporaires.
Red Hat indique actuellement qu’aucune mitigation ne répond aux critères de Product Security en matière de facilité de déploiement, d’applicabilité à une base d’installations suffisamment large et de stabilité à long terme.
Cela signifie que les organisations concernées ne doivent pas considérer une simple modification de configuration comme un remplacement définitif du correctif.
Red Hat recommande de suivre son système d’avis de sécurité et ses errata pour connaître la disponibilité des mises à jour. L’entreprise précise d’ailleurs dans sa politique de mise à jour de sécurité que les correctifs de sécurité sont distribués via ses mécanismes d’errata et sa base de données CVE.
Que doivent faire les administrateurs ACM ?
En attendant la disponibilité d’un correctif applicable à leur environnement, les équipes chargées de la sécurité Kubernetes devraient effectuer un audit des permissions accordées sur le hub ACM.
Une attention particulière doit être portée aux comptes disposant de droits edit au niveau des espaces de noms, car ce niveau de privilège est précisément impliqué dans le scénario décrit par Red Hat.
Les équipes peuvent notamment :
- Identifier les utilisateurs disposant de permissions
editsur les espaces de noms du hub ACM. - Vérifier les ressources
ChanneletSubscriptionrécemment créées ou modifiées. - Examiner les références vers des dépôts Helm non approuvés.
- Rechercher les tentatives de création de ressources à portée cluster.
- Surveiller les créations ou modifications inhabituelles de ClusterRoleBinding.
- Limiter autant que possible les permissions accordées aux utilisateurs et aux comptes de service.
- Vérifier régulièrement les comptes bénéficiant du rôle
cluster-admin.
Ces mesures ne remplacent pas un correctif officiel, mais elles peuvent aider à réduire la surface d’exposition et à détecter des comportements suspects.
Une vulnérabilité particulièrement sensible dans les environnements multi-clusters
Le cas de CVE-2026-10090 illustre un risque important des plateformes de gestion Kubernetes centralisées : un composant chargé d’automatiser les déploiements peut devenir un point de concentration des privilèges.
ACM est conçu pour gérer plusieurs clusters depuis une infrastructure centrale. La documentation de Red Hat décrit notamment cette architecture autour d’un hub cluster et de clusters gérés.
Une vulnérabilité dans un contrôleur capable d’appliquer automatiquement des ressources Kubernetes peut donc avoir des conséquences dépassant largement le simple espace de noms dans lequel l’action initiale est effectuée.
Pour les entreprises qui utilisent ACM comme couche centrale de gouvernance Kubernetes, la gestion des permissions du hub doit ainsi être considérée comme un élément essentiel de la stratégie de sécurité.
Red Hat suit la vulnérabilité CVE-2026-10090
La vulnérabilité est désormais officiellement enregistrée dans la base de sécurité de Red Hat. Les administrateurs peuvent également consulter la fiche correspondante sur le CVE Record officiel de CVE-2026-10090 ainsi que sa fiche dans la National Vulnerability Database du NIST.
Red Hat précise que ses propres scores peuvent différer de ceux d’autres bases lorsqu’une vulnérabilité concerne des composants open source intégrés à ses produits, car son évaluation tient compte de la manière dont le composant est distribué et intégré à ses produits.
À retenir
CVE-2026-10090 constitue une vulnérabilité particulièrement préoccupante pour les organisations utilisant Red Hat Advanced Cluster Management for Kubernetes.
Le problème se trouve dans le contrôleur Application Subscription. Un utilisateur disposant de simples privilèges d’édition au niveau d’un espace de noms peut, dans le scénario décrit par Red Hat, créer des ressources Channel et Subscription permettant au contrôleur de déployer des ressources à portée cluster.
La conséquence potentielle est majeure : l’obtention du rôle cluster-admin et donc la compromission complète du cluster concerné. Red Hat attribue à la faille un CVSS de 9,9.
À ce stade, Red Hat indique qu’aucune mitigation ne répond à ses critères officiels. Les organisations utilisant ACM doivent donc surveiller attentivement les mises à jour de sécurité et auditer leurs permissions, leurs ressources Channel et Subscription, ainsi que les éventuelles modifications de ClusterRoleBinding.
SOURCE : CybersecurityNews
