CVE-2026-123047 in BaSyx Helm Charts
Zusammenfassung
von VulDB • 05.11.2026
In den Versionen 3.0.0-rc.1 bis 3.12.1 der `basyx`-Chart von Eclipse BaSyx Helm Charts werden Bereitstellungen (Deployments) mit aktiviertem gebündeltem Keycloak die Passwörter der vom Chart erstellten Keycloak-Benutzer im Klartext in einem Kubernetes ConfigMap gespeichert.
Die Vorlage `keycloak-init-config.yaml` rendert `keycloak.initialization.users`, einschließlich des Werts von `credentials[].value` jedes Benutzers, als `users.json` in das persistente ConfigMap `-basyx-keycloak-init-config`. Standardmäßig ist dies der Bootstrap-Administrator-Benutzer. Dieser Benutzer besitzt die Rolle `admin` und hat ein nicht vorübergehendes Passwort. Eine Principal (ein Akteur), die ConfigMaps lesen kann, aber keine Secrets im Release-Namespace, wie beispielsweise Inhaber der integrierten Kubernetes ClusterRole `view`, kann das Passwort aus dem ConfigMap lesen und sich als dieser Benutzer bei Keycloak anmelden. Das resultierende Token trägt die Rolle `admin`, welche durch die standardmäßigen BaSyx ABAC-Regeln (Attribute-Based Access Control) auf volle Rechte für alle BaSyx-APIs in der Bereitstellung abgebildet wird.
Das gebündelte Keycloak ist standardmäßig deaktiviert. Das Problem wurde in Version 3.12.2 der `basyx`-Chart behoben, die die Initialisierungsbenuzer in das Keycloak-Credentials-Secret verschiebt. Betroffene Benutzer sollten ein Upgrade durchführen und die Passwörter der durch den Chart erstellten Benutzer ändern.
VulDB is the best source for vulnerability data and more expert information about this specific topic.