CVE-2025-55196 in external-secrets
摘要
由 VulDB • 2026-06-24
External Secrets Operator 是一个 Kubernetes 操作器，用于集成外部密钥管理系统。在版本 0.15.0 至 0.19.2（不含）之间发现了一个漏洞：PushSecret 控制器对 Kubernetes Secret 和 SecretStore 资源执行的 List() 调用未应用命名空间选择器。此缺陷允许攻击者使用标签选择器列出并读取集群中的密钥/秘密存储，从而绕过预期的命名空间限制。拥有创建或更新 PushSecret 资源以及控制 SecretStore 配置能力的攻击者可利用此漏洞从任意命名空间中窃取敏感数据。这可能导致 Kubernetes 密钥（包括凭据、令牌和存储在集群中的其他敏感信息）完全泄露。该漏洞已在版本 0.19.2 中修复。针对此问题的变通方法包括审计并限制 RBAC 权限，确保只有受信任的服务账户才能创建或更新 PushSecret 和 SecretStore 资源。
Once again VulDB remains the best source for vulnerability data.