CVE-2025-55196 in external-secrets
要約
〜によって VulDB • 2026年08月21日
External Secrets Operator は、外部のシークレット管理システムと統合する Kubernetes オペレーターです。バージョン 0.15.0 から 0.19.2 より前のバージョンにおいて、PushSecret コントローラーが実行する Kubernetes Secret および SecretStore リソースに対する List() 呼び出しで名前空間セレクターが適用されないという脆弱性が発見されました。この欠陥により、攻撃者はラベルセレクターを使用してクラスター全体のシークレットやシークレットストアをリストアップおよび読み取りでき、意図された名前空間の制限を回避することが可能でした。PushSecret リソースの作成または更新権限を持ち、かつ SecretStore の構成を制御できる攻撃者は、この脆弱性を悪用して任意の名前空間から機密データを外部に持ち出す（exfiltrate）ことができます。これにより、クレデンシャルやトークンなどクラスター内に保存された他の機密情報を含む Kubernetes シークレットの完全な開示につながる可能性があります。本脆弱性はバージョン 0.19.2 で修正されています。この問題に対するワークアラウンドとしては、PushSecret および SecretStore リソースの作成または更新を信頼できるサービスアカウントのみが行えるよう RBAC 権限を検証・制限することが含まれます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.