CVE-2025-23391 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Rancher 存在权限控制缺陷。 👉 **后果**：受限管理员可篡改密码，直接**接管**最高权限管理员账户，导致平台完全失守。

🛡️ **CWE-266**：权限配置错误。 🔍 **缺陷点**：对**受限管理员**的操作权限校验缺失，允许其执行本应仅限超级管理员的敏感操作（改密）。

📦 **产品**：Rancher (SUSE)。 📅 **受影响版本**： - 2.8.x (2.8.0 ~ 2.8.14) - 2.9.x (2.9.0 ~ 2.9.8) - 2.10.x (2.10.0 ~ 2.10.4)

💀 **权限提升**：从普通/受限管理员 ➡️ **超级管理员**。 📂 **数据风险**：可访问所有集群、节点及容器数据，彻底控制生产环境。

⚠️ **门槛低**： - 需要**认证**（拥有受限管理员账号）。 - **无需**用户交互 (UI:N)。 - 攻击复杂度低 (AC:L)。

🚫 **暂无公开 Exp**： - 数据中 `pocs` 为空。 - 无在野利用报告。 - 但逻辑简单，**高危**漏洞极易被编写利用脚本。

🔍 **自查方法**： 1. 检查 Rancher 版本是否在上述**受影响区间**。 2. 审计账号权限，确认是否存在**受限管理员**。 3. 监控异常密码修改日志。

✅ **已修复**： - 官方已发布安全公告 (GHSA-8p83-cpfg-fj3g)。 - 需升级至各系列的**最新安全版本**（即 2.8.14+ / 2.9.8+ / 2.10.4+）。

🛡️ **临时规避**： 1. **最小权限原则**：立即撤销所有非必要的受限管理员权限。 2. **强密码策略**：确保管理员密码高强度且定期更换。 3. **网络隔离**：限制 Rancher 管理界面的访问来源。

🔥 **优先级：高**。 - CVSS 评分极高 (C:H/I:H/A:H)。 - 涉及**核心管理权限**旁路。 - 建议**立即**评估版本并制定升级计划。