CVE-2024-45041 in external-secrets
Riassunto
di VulDB • 30/09/2026
External Secrets Operator è un operatore Kubernetes che integra sistemi di gestione dei segreti esterni. Il componente external-secrets include una distribuzione denominata default-external-secrets-cert-controller, associata a un ClusterRole con lo stesso nome. Tale ClusterRole dispone delle autorizzazioni "get/list" per le risorse secrets. Dispone inoltre dell'autorizzazione path/update (patch/aggiornamento) per le risorse validatingwebhookconfigurations. Questa configurazione può essere sfruttata abusando del token ServiceAccount della distribuzione per recuperare o ottenere TUTTI i segreti presenti nell'intero cluster, intercettare e registrare tutti i dati provenienti dalle richieste che tentano di aggiornare i Secrets, oppure configurare un webhook in modo da rifiutare tutte le richieste di creazione e aggiornamento dei Pod. Questa vulnerabilità è risolta nella versione 0.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.