En bref

  • Spinnaker corrige CVE-2026-32604 (CVSS 9.9), RCE non authentifiée via artefacts gitrepo
  • Toutes versions antérieures à 2026.1.0, 2026.0.1, 2025.4.2 et 2025.3.2 concernées
  • Mise à jour immédiate ou désactivation des artefacts gitrepo en contournement

Les faits

Points clés à retenir

  • Les faits
  • Impact et exposition
  • Recommandations

La fondation Linux a publié le 20 avril 2026 un correctif d'urgence pour CVE-2026-32604, une vulnérabilité critique notée CVSS 9.9 qui affecte Spinnaker, la plateforme open source de livraison continue multi-cloud maintenue conjointement par Netflix et Google. La faille réside dans le traitement des entrées utilisateur sur les paramètres « branch » et « paths » des artefacts de type « gitrepo », interprétés par les pods Clouddriver sans validation ni échappement préalable. Un attaquant non authentifié capable d'atteindre l'API exposée peut ainsi injecter des arguments arbitraires dans les commandes Git exécutées côté serveur, puis obtenir une exécution de code à distance dans le conteneur, avec les privilèges du compte de service Kubernetes associé. Compte tenu de la position centrale de Spinnaker dans les chaînes de déploiement, cette compromission ouvre la voie à une attaque sur la chaîne logistique logicielle de l'entreprise.

Selon l'avis de sécurité publié sur le dépôt GitHub du projet, un attaquant distant peut exécuter des commandes arbitraires sans authentification préalable (AV:N, PR:N) sur les pods clouddriver. L'exploitation permet d'exposer des secrets de pipeline, de supprimer des fichiers ou d'injecter des ressources dans l'environnement d'exécution. La sévérité maximale tient à l'absence totale de prérequis : un simple pipeline déclenché par une source non vérifiée suffit à compromettre toute la chaîne CI/CD.

Impact et exposition

Spinnaker est déployé dans de nombreuses entreprises Fortune 500 pour orchestrer les déploiements Kubernetes et multi-cloud. Les instances exposant l'interface de déclenchement de pipelines à des webhooks externes ou à des utilisateurs peu privilégiés sont particulièrement à risque. Les clusters où le clouddriver dispose de credentials cloud (AWS IAM, GCP service accounts, Azure SP) élargissent drastiquement la surface d'impact : un attaquant peut pivoter de la chaîne CI/CD vers l'infrastructure cible.

Recommandations

  • Mettre à jour immédiatement vers 2026.1.0, 2026.0.1, 2025.4.2 ou 2025.3.2 selon la branche utilisée
  • En contournement temporaire, désactiver complètement les artefacts de type gitrepo
  • Auditer les logs clouddriver pour toute exécution anormale sur les sept derniers jours
  • Effectuer une rotation des credentials cloud accessibles depuis le pod clouddriver
  • Restreindre l'exposition réseau de l'interface de pipeline aux seuls IP de confiance

Alerte critique

Avec un vecteur d'attaque réseau, aucune authentification requise et un impact confidentialité/intégrité/disponibilité maximal, CVE-2026-32604 est exploitable en masse. Les instances Spinnaker exposées sur Internet doivent être patchées sous 24 heures.

Comment détecter une exploitation de CVE-2026-32604 sur mes pods clouddriver ?

Inspectez les logs du clouddriver pour des requêtes de fetch gitrepo contenant des caractères shell (;, |, `, $()) dans les paramètres branch ou paths. Surveillez également les processus enfants anormaux du pod : curl, wget, bash, ou connexions sortantes vers des IP non répertoriées dans votre allowlist cloud.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Articles connexes :

Demander un audit

Sources et références