CVE-2025-55196 in external-secrets
Zusammenfassung
von VulDB • 26.06.2026
Der External Secrets Operator ist ein Kubernetes-Operator, der externe Geheimnisverwaltungssysteme integriert. Von Version 0.15.0 bis vor 0.19.2 wurde eine Schwachstelle entdeckt, bei der die vom PushSecret-Controller durchgeführten List()-Aufrufe für Kubernetes Secret- und SecretStore-Ressourcen keinen Namespace-Selektor anwendeten. Dieser Fehler ermöglichte es einem Angreifer, Label-Selektoren zu verwenden, um Secrets/Secret-Stores clusterweit aufzulisten und auszulesen, wodurch die beabsichtigten Namespace-Einschränkungen umgangen wurden. Ein Angreifer mit der Fähigkeit, PushSecret-Ressourcen zu erstellen oder zu aktualisieren sowie SecretStore-Konfigurationen zu steuern, konnte diese Schwachstelle ausnutzen, um sensible Daten aus beliebigen Namespaces abzuziehen (Exfiltration). Dies könnte zur vollständigen Offenlegung von Kubernetes-Geheimnissen führen, einschließlich Anmeldeinformationen, Token und anderer im Cluster gespeicherter sensibler Informationen. Diese Schwachstelle wurde in Version 0.19.2 gepatcht. Eine Workaround für dieses Problem umfasst das Auditing und die Einschränkung der RBAC-Berechtigungen, sodass nur vertrauenswürdige Service-Accounts PushSecret- und SecretStore-Ressourcen erstellen oder aktualisieren können.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.