CVE-2025-55196 in external-secrets
Resumen
por MITRE • 2025-08-14
External Secrets Operator de Kubernetes que integra sistemas externos de gestión de secretos. Desde la versión 0.15.0 hasta la 0.19.2, se descubrió una vulnerabilidad en la que las llamadas List() para los recursos Secret y SecretStore de Kubernetes, realizadas por el controlador PushSecret, no aplicaban un selector de espacio de nombres. Esta falla permitía a un atacante usar selectores de etiquetas para listar y leer secretos y almacenes de secretos en el clúster, eludiendo las restricciones de espacio de nombres previstas. Un atacante con la capacidad de crear o actualizar recursos PushSecret y controlar las configuraciones de SecretStore podría explotar esta vulnerabilidad para extraer datos confidenciales de espacios de nombres arbitrarios. Esto podría provocar la divulgación completa de secretos de Kubernetes, incluyendo credenciales, tokens y otra información confidencial almacenada en el clúster. Esta vulnerabilidad se ha corregido en la versión 0.19.2. Una solución alternativa para este problema incluye auditar y restringir los permisos RBAC para que solo las cuentas de servicio de confianza puedan crear o actualizar recursos PushSecret y SecretStore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.