-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Rancher door Rancher Labs
Advisory ID     : NCSC-2026-0220
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-44946, CVE-2026-44947
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Preservation of Permissions
                  Authentication Bypass by Capture-replay
Uitgiftedatum   : 20260703
Toepassing      : Rancher Rancher
Versie(s)       :
Platform(s)     :

Beschrijving
   Rancher Labs heeft kwetsbaarheden verholpen in Rancher versies 2.13.0
   tot en met 2.13.7 en 2.14.0 tot en met 2.14.3.

   De eerste kwetsbaarheid betreft een SAML authenticatie replay
   probleem in de Assertion Consumer Service (ACS) handler in Rancher
   versies 2.14.0 tot, maar niet inclusief 2.14.3. De ACS handler dwingt
   het eenmalig gebruik van SAML assertions niet af, waardoor een
   aanvaller onderschepte assertions kan hergebruiken. Dit kan leiden
   tot man-in-the-middle aanvallen die de integriteit van het
   authenticatieproces aantasten. De tweede kwetsbaarheid zit in de
   legacy Project Role Template Binding reconciler in Rancher versies
   2.13.0 tot en met 2.13.7 en 2.14.0 tot en met 2.14.3. Door het
   ontbreken van een opruimstap kunnen gebruikers Pod Security Admission
   permissies behouden die eigenlijk ingetrokken hadden moeten worden
   wanneer een beheerder deze permissies uit een RoleTemplate
   verwijdert. Dit komt doordat de reconciler permissies niet correct
   bijwerkt of verwijdert, waardoor ongeautoriseerde toegang kan blijven
   bestaan en gebruikers mogelijk verhoogde privileges behouden buiten
   hun toegestane scope.

Mogelijke oplossingen
   Rancher Labs heeft updates uitgebracht om deze kwetsbaarheden te
   verhelpen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://github.com/rancher/rancher/security/advisories/GHSA-c4rp-
      wgqc-mfhc

      Reference
      https://github.com/rancher/rancher/security/advisories/GHSA-c5jm-
      xcmq-9j95

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=OIdc
-----END PGP SIGNATURE-----