PT-2026-3649 · Unknown+2 · External Secrets Operator+4
Budimanjojo
·
Publicado
2026-01-20
·
Atualizado
2026-04-16
·
CVE-2026-22822
CVSS v4.0
9.3
Crítica
| Vetor | AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do External Secrets Operator de 0.20.2 até 1.2.0
Descrição
O External Secrets Operator lê informações de um serviço de terceiros e injeta automaticamente os valores como Secrets do Kubernetes. A partir da versão 0.20.2 e antes da versão 1.2.0, a função de template
getSecretKey poderia ser usada para buscar secrets entre namespaces com o roleBinding do controller external-secrets, contornando mecanismos de segurança. Esta função foi removida na versão 1.2.0. O problema permite acesso a secrets entre namespaces, potencialmente levando ao escalonamento de privilégios, exfiltração de dados ou comprometimento de contas de serviço e credenciais. A função getSecretKey aceita parâmetros como a-secret-name, another-namespace e a-key para especificar o secret a ser recuperado.Recomendações
Atualize para a versão 1.2.0 ou posterior do External Secrets Operator.
Como solução alternativa, use uma engine de políticas como Kubernetes, Kyverno, Kubewarden ou OPA para prevenir o uso de
getSecretKey em qualquer recurso ExternalSecret.Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
External Secrets Operator
Kubernetes
Kubewarden
Kyverno
Opa