CVE-2026-123059 in BaSyx Helm Charts
Zusammenfassung
von VulDB • 05.11.2026
In den Eclipse BaSyx Helm Charts der Version 2.2.0 des Charts `aas-basyx-v2-full` werden Bereitstellungen mit dem integrierten Keycloak aktiviert, die das Client-Secret des OAuth2-Clients `basyx-technical-user` im Klartext in einem Kubernetes ConfigMap speichern. Dieser Client verwendet den client_credentials-Grant (Client-Anmeldeverfahren), und sein Service-Account verfügt über die Rolle `admin` der Realm.
Das Chart schreibt zwar korrekt `keycloak.technicalUser.clientSecret` in ein Kubernetes Secret, aber das Template `basyx-keycloak-realm.yaml` substituiert denselben Wert auch im Keycloak realm-import JSON, welches im ConfigMap `<keycloak.fullnameOverride>-realm` gespeichert wird. Ein Principal (Prinzipal), der ConfigMaps lesen kann, jedoch keine Secrets im Release-Namespace, wie beispielsweise ein Inhaber der integrierten Kubernetes `view` ClusterRole, kann das Client-Secret aus dem ConfigMap auslesen. Dieses Secret kann anschließend am Keycloak-Token-Endpunkt gegen einen Access Token mit der Rolle `admin` getauscht werden. Dieser Token gewährt vollständige Erstellungs-, Lese-, Änderungs-, Lösch- und Ausführrechte auf alle BaSyx-Repositorien und -Registries in der Bereitstellung.
Der integrierte Keycloak ist standardmäßig deaktiviert. Es gibt keine behobene Version des Charts `aas-basyx-v2-full`. Betroffene Benutzer sollten zu dem Chart `basyx` migrieren oder die Bereitstellung ohne den integrierten Keycloak durchführen und das Client-Secret von `basyx-technical-user` rotieren (erneuern).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.