CVE-2026-41050: Falha de impersonação no deployer Helm do Fleet permite leitura de secrets entre namespaces
A CVE-2026-41050 é uma falha crítica de autorização incorreta (CWE-863) no deployer Helm do Fleet, que não aplicou totalmente a impersonação de ServiceAccount em dois caminhos de código. Segundo o registro, um tenant com acesso de push a um repositório Git monitorado pelo Fleet poderia ler secrets de qualquer namespace em cada cluster downstream alvo do seu GitRepo. A SUSE, como CNA, atribuiu nota 9.9 pelo CVSS 3.1, a CVE não consta no KEV e o registro não lista versões corrigidas.
Visão geral
A CVE-2026-41050 trata do deployer Helm do Fleet, que não aplicou totalmente a impersonação de ServiceAccount em dois caminhos de código. O registro classifica a fraqueza como CWE-863 (Autorização incorreta), foi publicado em 13/05/2026 e está com status Undergoing Analysis.
Impacto
- Segundo a descrição, um tenant com acesso de push a um repositório Git monitorado pelo Fleet poderia ler secrets de qualquer namespace em todos os clusters downstream alvo do seu GitRepo.
- A SUSE atribuiu pontuação base CVSS 3.1 de 9.9 (crítica), com vetor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, que descreve alto impacto em confidencialidade, integridade e disponibilidade.
- O impacto técnico no SSVC está registrado como total.
Produtos e versões afetadas
O registro lista o produto como Suse Rancher, com estas faixas:
- ≥ 0.15.0 e < 0.15.1
- ≥ 0.14.0 e < 0.14.5
- ≥ 0.13.0 e < 0.13.10
- ≥ 0.12.0 e < 0.12.14
- ≥ 0.11.0 e < 0.11.13
O registro não lista versões corrigidas. Os limites superiores das faixas podem indicar as primeiras versões fora de cada intervalo, mas isso é uma inferência e não uma correção confirmada.
Status de exploração
O registro indica KEV como falso, portanto não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas. Os valores SSVC registrados são exploração none e automatizável no.
Correção e mitigação
- Verifique se seu ambiente executa o Fleet com implantações baseadas em Helm dentro das faixas listadas.
- Acompanhe as entradas de rastreamento do fornecedor para versões corrigidas: entrada no Bugzilla da SUSE e aviso GHSA-765j-qfrp-hm3j no GitHub.
- Até a aplicação de uma correção, limite quais usuários podem fazer push em repositórios monitorados pelo Fleet e revise as permissões de escrita nos repositórios.
- Revise quais secrets são alcançáveis a partir dos clusters downstream alvo dos recursos GitRepo e reduza a exposição de secrets entre namespaces quando ela não for necessária.
Orientação para detecção
- Audite a atividade de push para repositórios monitorados pelo Fleet, especialmente de tenants com confiança limitada.
- Revise os recursos GitRepo do Fleet e seus clusters alvo em busca de alterações inesperadas.
- Quando o registro de logs permitir, monitore acessos incomuns a secrets entre namespaces nos clusters downstream.
Limitações das informações disponíveis
- O registro não especifica quais caminhos de código foram afetados, quais versões corrigidas existem ou se já foram publicados patches.
- O status é Undergoing Analysis, portanto os detalhes podem mudar.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação; o valor é reportado como consta no registro.
- O registro indica o produto como Suse Rancher, enquanto a descrição se refere ao deployer Helm do Fleet. O registro não explica a relação entre os dois.
Perguntas frequentes
A CVE-2026-41050 está sendo explorada ativamente?
O registro indica que a CVE não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor SSVC de exploração registrado é none.
Quais versões são afetadas?
O registro lista faixas do Suse Rancher de 0.11.0 até antes de 0.11.13, de 0.12.0 a 0.12.14, de 0.13.0 a 0.13.10, de 0.14.0 a 0.14.5 e de 0.15.0 a 0.15.1. Ele não lista versões corrigidas, então consulte as entradas de rastreamento do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.