CVE-2026-22822 in external-secrets
要約
〜によって VulDB • 2026年07月26日
External Secrets Operator は、サードパーティ製サービスから情報を取得し、その値を自動的に Kubernetes シークレットとして注入します。バージョン 0.20.2 からバージョン 1.2.0 より前では、senhasegura DevOps Secrets Management (DSM) プロバイダ向けに導入された `getSecretKey` テンプレート関数には、external-secrets コントローラの roleBinding を使用して名前空間を跨いでシークレットを取得する機能があり、セキュリティメカニズムを回避することが可能でした。この関数はバージョン 1.2.0 で完全に削除されました。これは、そのテンプレート関数を使用して行えるすべての処理は、External Secrets Operator の保護措置を尊重しながら別の方法で実行できるためです。ワークアラウンドとして、Kubernetes、Kyverno、Kubewarden、または OPA などのポリシーエンジンを使用し、任意の ExternalSecret リソースにおける `getSecretKey` の使用を防いでください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.