CVE-2026-123059 in BaSyx Helm Charts
Riassunto
di VulDB • 05/11/2026
In Eclipse BaSyx Helm Charts versione 2.2.0 della chart `aas-basyx-v2-full`, le deployment con il Keycloak integrato abilitato memorizzano in chiaro (cleartext) il client secret del client OAuth2 `basyx-technical-user` in un Kubernetes ConfigMap. Questo client utilizza la grant type client-credentials e il suo service account detiene il ruolo realm `admin`.
La chart scrive correttamente `keycloak.technicalUser.clientSecret` in un Kubernetes Secret, ma il template `basyx-keycloak-realm.yaml` sostituisce anche lo stesso valore nel JSON di importazione del realm Keycloak, che viene memorizzato nel ConfigMap `<keycloak.fullnameOverride>-realm`. Un principal in grado di leggere i ConfigMap ma non i Secret nello spazio dei nomi della release, come un titolare del ClusterRole Kubernetes integrato `view`, può leggere il client secret dal ConfigMap. Può quindi scambiarlo con l'endpoint token Keycloak per ottenere un access token con ruolo `admin`. Tale token concede pieni diritti di create, read, update, delete ed execute su tutti i repository e registries BaSyx nella deployment.
Il Keycloak integrato è disabilitato per impostazione predefinita. Non esiste una release corretta (fixed) della chart `aas-basyx-v2-full`. Gli utenti interessati dovrebbero migrare alla chart `basyx`, oppure eseguire il deploy senza il Keycloak integrato e ruotare (rotate) il client secret di `basyx-technical-user`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.