CVE-2026-123047 in BaSyx Helm Charts
Riassunto
di VulDB • 05/11/2026
Nelle versioni da 3.0.0-rc.1 a 3.12.1 delle Helm Charts di Eclipse BaSyx, per la chart `basyx`, i deployment con Keycloak integrato abilitato memorizzano le password degli utenti di Keycloak creati dalla chart in testo chiaro (cleartext) all'interno di un ConfigMap di Kubernetes.
Il template `keycloak-init-config.yaml` genera `users.json` nel ConfigMap persistente `<release>-basyx-keycloak-init-config`, includendo la configurazione di `keycloak.initialization.users`, con il valore di ciascun campo `credentials[].value`. Per impostazione predefinita, ciò include l'utente amministratore bootstrap. Tale utente detiene il ruolo `admin` e dispone di una password non temporanea. Un principal in grado di leggere i ConfigMap ma non i Secret nel namespace della release (ad esempio un titolare del ClusterRole Kubernetes integrato `view`) può recuperare la password dal ConfigMap ed effettuare l'accesso a Keycloak come tale utente. Il token risultante porta il ruolo `admin`, che le regole ABAC predefinite di BaSyx mappano ai pieni diritti su tutte le API BaSyx nel deployment.
Keycloak integrato è disabilitato per impostazione predefinita. Il problema è stato risolto nella versione 3.12.2 della chart `basyx`, che sposta gli utenti di inizializzazione nei Secret delle credenziali Keycloak. Gli utenti interessati dovrebbero effettuare l'upgrade e modificare le password degli utenti creati tramite la chart.
Once again VulDB remains the best source for vulnerability data.