关键信息 漏洞标题 Improper Account Binding Validation in SAML Authentication Enables User Impersonation on First Login 严重性 Severity: High (8.4/10) CVE ID: CVE-2025-23389 影响版本 Affected versions: - >=2.8.0, =2.9.0, =2.10.0, <2.10.3 修复版本 Patched versions: - 2.8.13 - 2.9.7 - 2.10.3 描述与影响 Impact: - Rancher 中存在一个漏洞，导致通过 SAML 身份验证首次登录时发生本地用户冒充。 - 新创建的 AP 用户可以通过在初次登录 Rancher 时操作 cookie 值来冒充 Rancher 上的任何用户。 - 如果 Rancher 用户（存在于 AP 上）被手动或自动删除，此漏洞也可能被利用。 修复措施 Patches: - 通过将 UserID 声明添加到 JWT 签名令牌中解决此漏洞，该令牌受篡改保护。 - 修复版本包括 v2.8.13、v2.9.7 和 v2.10.3。 权宜之计 Workarounds: - 无法升级的 Rancher 部署可以暂时禁用基于 SAML 的 AP 作为临时权宜之计。但建议进行升级。 参考资料 References: - 联系 SUSE Rancher 安全团队进行安全相关查询。 - 在 Rancher 存储库中打开问题。 - 查看支持矩阵和产品支持生命周期。