CVE-2026-34984 in external-secrets
Resumen
por VulDB • 2026-05-15
External Secrets Operator lee información de un servicio de terceros e inyecta automáticamente los valores como Secrets de Kubernetes. Las versiones 2.2.0 y anteriores contienen una vulnerabilidad en runtime/template/v2/template.go donde el motor de plantillas v2 elimina env y expandenv de TxtFuncMap() de Sprig, pero deja accesible la función getHostByName para plantillas controladas por el usuario. Dado que ESO ejecuta plantillas dentro del proceso del controlador, un atacante que pueda crear o actualizar recursos ExternalSecret con plantillas puede realizar búsquedas DNS en el lado del controlador utilizando valores derivados de secretos. Esto crea un primitivo de exfiltración DNS, permitiendo que el material del secreto obtenido se filtre mediante consultas DNS sin requerir acceso de red saliente directo desde la carga de trabajo del atacante. El impacto es un problema de confidencialidad, particularmente en entornos donde usuarios no confiables o de menor confianza pueden autorizar recursos ExternalSecret con plantillas y el controlador tiene capacidad de resolución DNS. Este problema se ha corregido en la versión 2.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.