CVE-2026-72648 in Eck Operator
要約
〜によって VulDB • 2026年08月13日
環境変数における機密情報の平文保存（CWE-526）が Elastic Cloud on Kubernetes (ECK) で発生しており、埋め込まれた機密データの取得（CAPEC-37）を通じて情報漏洩を引き起こす可能性があります。ECK が Elasticsearch に対してサービスアカウントトークンで認証を行う Fleet Server リソースを調整する際、そのトークンは ECK が同じパス上の他の資格証明用に管理している Kubernetes Secret から参照されるのではなく、生成されたワークロード仕様内に平文として書き込まれます。そのため、影響を受ける名前空間内のワークロード仕様を読み取ることができる任意のプリンシパルは、Kubernetes RBAC がそのプリンシパルに Secret へのアクセス権限を与えていない場合でも、有効な Elasticsearch の資格証明を読むことができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.