Red Hat ha revelado la vulnerabilidad CVE-2026-66794, un fallo de Server-Side Request Forgery (SSRF) de severidad alta que afecta al componente cluster-proxy-addon en el motor multiclúster para Kubernetes. Con una puntuación CVSS v3.1 de 9.3, este problema podría permitir que atacantes remotos no autenticados accedan a servicios internos que normalmente serían inaccesibles en los clústeres de Kubernetes gestionados.

Red Hat ha revelado el CVE-2026-66794, una vulnerabilidad de Falsificación de Solicitudes del Lado del Servidor (SSRF) de severidad alta que afecta al componente cluster-proxy-addon en Multicluster Engine para Kubernetes.

El problema tiene una puntuación CVSS v3.1 de 9.3. Podría permitir que atacantes remotos no autenticados accedan a servicios que, de otro modo, serían inaccesibles y que se ejecutan en clusters de Kubernetes gestionados.

La vulnerabilidad existe en una ruta orientada al usuario expuesta por el complemento del proxy del cluster. Según Red Hat, la ruta no aplica correctamente la autenticación y autorización antes de reenviar las solicitudes.

Un atacante que pueda acceder a este punto final puede manipular los segmentos de la ruta de la URL para hacer que el proxy envíe solicitudes a servicios arbitrarios en los clusters gestionados.

Este comportamiento se clasifica como CWE-918, o SSRF. En lugar de atacar directamente un servicio interno desde internet, el atacante abusa del proxy vulnerable como intermediario.

Fallo de SSRF en Red Hat Kubernetes

El proxy parece ser confiable para la infraestructura interna, lo que permite que las solicitudes crucen límites que los controles de red, las restricciones de exposición de servicios o la segmentación de clusters normalmente protegerían.

En un despliegue de Kubernetes multicluster, esto podría ser particularmente grave. Los componentes del plano de gestión suelen tener conectividad con servicios distribuidos en varios clusters gestionados.

Si se expone a través de una ruta vulnerable, los atacantes podrían acceder a APIs internas, recuperar datos confidenciales de aplicaciones, identificar puntos finales internos alcanzables o interactuar con servicios que nunca fueron destinados a estar disponibles externamente.

Por ejemplo, un atacante podría manipular una ruta de solicitud para que el proxy afectado contacte con un servicio interno en un cluster gestionado.

Si ese servicio devuelve datos de configuración, tokens, detalles de depuración o respuestas de aplicaciones sin requerir una autenticación independiente, el atacante puede obtener información útil para una intrusión posterior.

El impacto real depende de a qué servicios pueda llegar el proxy y qué controles de seguridad apliquen dichos servicios. Red Hat calificó el problema como Importante en lugar de Crítico, a pesar de la alta puntuación CVSS de 9.3.

Su análisis establece que el impacto confirmado es un SSRF no autenticado, no una ejecución remota de código. El proveedor identificó un alto impacto en la confidencialidad, un bajo impacto en la integridad y ningún impacto demostrado en la disponibilidad.

Los componentes afectados son multicluster-engine/cluster-proxy-addon-rhel9 y multicluster-engine/cluster-proxy-rhel9 dentro de Multicluster Engine para Kubernetes.

En el momento de la publicación, Red Hat los enumeró a ambos como afectados y no identificó erratas de seguridad asociadas. Tu organización debería restringir inmediatamente el acceso de red a la ruta cluster-proxy-addon orientada al usuario.

Red Hat recomienda aplicar reglas de firewall o controles de red equivalentes para asegurar que solo las redes confiables y las fuentes autorizadas puedan conectarse al puerto expuesto.

Tú, como administrador, también deberías revisar la exposición de las rutas, inspeccionar los registros de acceso del proxy en busca de patrones de ruta inusuales e identificar servicios internos sensibles alcanzables desde el entorno de gestión.

Fuentes: