Red Hat ACM, un privilegio di namespace diventa cluster-admin:…

Il 5 agosto 2026 Red Hat ha pubblicato l'advisory CVE-2026-10090: una vulnerabilità nel controller Application Subscription di Advanced Cluster Management for

{"main_topic":"cybersecurity","topics":["vulnerabilita","cve","kubernetes","privilege-escalation","red-hat"]}

Il 5 agosto 2026 Red Hat ha pubblicato l'advisory CVE-2026-10090: una vulnerabilità nel controller Application Subscription di Advanced Cluster Management for Kubernetes consente a un utente con permessi namespace-scoped edit di scalare a cluster-admin sull'intero hub. Non esiste errata correttiva definitiva; il vendor ha deprecato il componente e raccomanda la migrazione a GitOps Operator / Argo CD. Per le organizzazioni che gestiscono multi-cluster Kubernetes, la posta in gioco è immediata: chiunque abbia accesso in modifica a un namespace ACM può compromettere l'intera architettura di controllo.

Punti chiave

Un utente con privilegi edit di namespace crea Channel e Subscription che indirizzano il controller a un repository Helm controllato dall'attaccante.
Il controller multicluster-operators-subscription applica il chart con i propri privilegi elevati senza verificare il ruolo subscription-admin del creatore.
Il meccanismo confused deputy bypassa i boundary di namespace: oggetti cluster-scoped come ClusterRoleBinding possono essere iniettati nel chart.
Non è disponibile una patch definitiva; la mitigazione ufficiale è temporanea e richiede monitoraggio continuo, mentre Red Hat ha deprecato Application Subscription.

Il meccanismo: quando il controller diventa il "viceconfuso"

La vulnerabilità risiede nel componente rhacm2/multicluster-operators-subscription-rhel9 in ACM 2, come documentato dall'advisory Red Hat. Il flusso di attacco è preciso e non richiede privilegi iniziali elevati: l'attaccante crea una risorsa Channel che punta a un repository Helm sotto il suo controllo, poi una Subscription che la referenzia.

Il controller Application Subscription—eseguito con privilegi elevati per gestire le distribuzioni multi-cluster—recupera il chart Helm e ne applica il contenuto usando la propria identità. Secondo il provvedimento citato, il controller "fetches and applies the Helm chart contents with its own elevated authority, without verifying whether the subscription creator holds the open-cluster-management:subscription-admin role".

Questo è il classico pattern confused deputy (CWE-267): un servizio legittimo con privilegi elevati agisce per conto di un'entità non autorizzata, confondendo l'origine della richiesta con la propria capacità di esecuzione. Il risultato è che l'utente namespace-scoped delega al controller operazioni che non potrebbe eseguire direttamente.

Il bypass dei boundary: da namespace a cluster-scoped

Il problema non si limita all'abuso dei privilegi del controller. La mancata enforcement dei limiti di namespace permette di includere nel chart Helm risorse che operano al di fuori dello scope originario. Il controller non restringe le risorse applicate al namespace della Subscription, aprendo la strada a oggetti con visibilità cluster-wide.

La dimostrazione concreta dell'escalation è la creazione di un ClusterRoleBinding che associa una ServiceAccount controllata dall'attaccante al ruolo cluster-admin. Una volta ottenuto questo livello di privilegio, l'attaccante controlla l'intero hub ACM e, da lì, potenzialmente tutti i cluster gestiti attraverso di esso.

La discrepanza sul CVSS e la mancanza di patch

"Successful exploitation results in full cluster-admin privilege escalation." — Red Hat Customer Portal, CVE-2026-10090

Il punteggio CVSS v3.1 è segnalato come 9.9 da fonti specializzate (SecurityWeek riporta il vettore AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H), mentre l'advisory Red Hat indica PR:H con impatto tecnico equivalente e specifica che il rating è "Important". Il vettore Red Hat è contrassegnato come preliminary: la fonte ufficiale non considera il dato definitivo.

Non esiste, al momento delle fonti disponibili, una security errata che risolva la vulnerabilità. L'unica mitigazione documentata consiste nell'eliminare la ClusterRole open-cluster-management:multicluster-operators-subscription:rbac-aggregate-edit, con la specifica avvertenza che l'operatore la ricrea automaticamente: richiede re-applicazione continua e monitoraggio.

Deprecation silenziosa: il modello è morto, ma potrebbe camminare

Red Hat ha deprecato il modello Application Subscription nelle release più recenti di ACM e raccomanda esplicitamente la migrazione al GitOps Operator / Argo CD per la gestione delle applicazioni. La raccomandazione non è immediatamente operativa per le organizzazioni con deployment esistenti: la migrazione richiede progettazione, test e possibile rinegoziazione dei flussi di continuous delivery.

L'angolo della "deprecazione silenziosa" è qui centrale: molte organizzazioni potrebbero continuare a usare Application Subscription senza essere consapevoli che il modello stesso è considerato obsoleto dal vendor e che la vulnerabilità non riceverà correzione definitiva. La gap tra annuncio di deprecation e rimozione effettiva dai sistemi di produzione enterprise è uno scenario ricorrente nella sicurezza dei container orchestration, ma raramente con esposizione così diretta a privilege escalation.

Cosa fare adesso

Verificare se l'organizzazione utilizza Application Subscription in ACM 2 e identificare gli utenti con ruolo edit nei namespace ACM.
Applicare la mitigazione temporanea documentata da Red Hat: rimuovere la ClusterRole open-cluster-management:multicluster-operators-subscription:rbac-aggregate-edit e implementare monitoraggio per la sua ricreazione automatica.
Pianificare la migrazione a GitOps Operator / Argo CD, trattando il percorso come priorità di sicurezza data l'assenza di prospettive di patch.
Rivedere le policy RBAC per limitare il più possibile la distribuzione del permesso edit di namespace agli utenti ACM.

Chi l'ha scoperto e cosa non sappiamo

La vulnerabilità è stata identificata da Christopher Lusk di North Echo Security Research. Le fonti non specificano se esistano exploit in-the-wild o se la divulgazione si limiti a proof-of-concept. Non è documentata l'estensione del deployment reale di Application Subscription in ambienti enterprise, né la timeline per una eventuale errata correttiva definitiva. La fonte ufficiale non chiarisce inoltre quale vettore CVSS sia corretto tra PR:L e PR:H: la discrepanza tra advisory Red Hat e fonti specializzate resta aperta.

La criticità di CVE-2026-10090 non sta nel singolo bug, ma nella combinazione tra facilità di exploitation, assenza di rimedio strutturale e probabile persistenza del componente vulnerabile nei sistemi di produzione. Il controller Application Subscription è progettato per automatizzare la distribuzione multi-cluster; proprio questa automazione, priva di verifica sull'origine della richiesta, si traduce in un vettore di privilege escalation. Per i team di sicurezza che operano su infrastrutture Kubernetes gestite da ACM, il monitoraggio della mitigazione temporanea e l'accelerazione della migrazione a GitOps non sono raccomandazioni generiche ma risposte a una condizione documentata di rischio accettato.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti