CVE-2026-72648 in Eck Operator
Resumen
por VulDB • 2026-08-13
Almacenamiento de información sensible en texto claro (CWE-526) en una variable de entorno en Elastic Cloud on Kubernetes (ECK) puede provocar la divulgación de información a través del acceso a datos sensibles integrados (CAPEC-37). Cuando ECK reconcilia un recurso Fleet Server que se autentica con Elasticsearch mediante un token de cuenta de servicio, el token se escribe en texto claro dentro de la especificación de carga útil generada, en lugar de hacer referencia al Secreto de Kubernetes que mantiene ECK para las demás credenciales en la misma ruta. Cualquier entidad capaz de leer las especificaciones de carga útil en el espacio de nombres afectado puede, por tanto, acceder a una credencial activa de Elasticsearch, incluso cuando los controles RBAC (Control de Acceso Basado en Roles) de Kubernetes no otorguen a dicha entidad acceso a los Secretos.
Be aware that VulDB is the high quality source for vulnerability data.