CVE-2026-34984 in external-secrets
Riassunto
di VulDB • 16/06/2026
External Secrets Operator legge le informazioni da un servizio di terze parti e inietta automaticamente i valori come Kubernetes Secrets. Le versioni 2.2.0 e precedenti presentano una vulnerabilità in runtime/template/v2/template.go in cui il motore di template v2 rimuove env ed expandenv da Sprig's TxtFuncMap(), ma lascia la funzione getHostByName accessibile ai template controllati dall'utente. Poiché ESO esegue i template all'interno del processo del controller, un attaccante in grado di creare o aggiornare le risorse ExternalSecret basate su template può invocare lookup DNS lato controller utilizzando valori derivati dai segreti. Questo crea una primitiva per l'esfiltrazione DNS, consentendo la fuoriuscita di materiale segreto recuperato tramite query DNS senza richiedere un accesso di rete in uscita diretto da parte del workload dell'attaccante. L'impatto è una questione di riservatezza, in particolare in ambienti in cui utenti non attendibili o di fiducia inferiore possono creare risorse ExternalSecret basate su template e il controller ha la capacità di risoluzione DNS. Questo problema è stato risolto nella versione 2.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.