CVE-2026-22822
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w External Secrets Operator (wersje 0.20.2 do 1.2.0) pozwala na ominięcie mechanizmów bezpieczeństwa dzięki funkcji `getSecretKey`, która umożliwia pobieranie sekretów z innych przestrzeni nazw (namespace) przy użyciu roli wiązania (roleBinding) kontrolera. Funkcja ta została całkowicie usunięta w wersji 1.2.0.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do sekretów w różnych przestrzeniach nazw, co prowadzi do wycieku poufnych danych i naruszenia polityk bezpieczeństwa w klastrze Kubernetes.
Rekomendacja
Zaleca się natychmiastową aktualizację External Secrets Operator do wersji 1.2.0 lub nowszej. Jako tymczasowe obejście, należy zastosować polityki silnika (np. Kyverno, OPA) blokujące użycie funkcji `getSecretKey` w zasobach ExternalSecret.
Inne podatności w External Secrets Operator
Zobacz wszystkie- CVE-2026-26287Wysokie
External Secrets Operator w wersjach od 0.10.0 do 1.3.1 zawiera błąd w inicjalizacji generatora webhook, który czyści flagę EnforceLabels po jej ustawieniu. Powoduje to pominięcie sprawdzenia etykiety external-secrets.io/type=webhook, umożliwiając operację, która powinna zakończyć się błędem. Wersja 1.3.2 zawiera poprawkę.
- CVE-2025-62159Wysokie
W External Secrets Operator w wersjach 0.10.1 do 0.19.2 dostawca BeyondTrust pobierał sekrety Kubernetes bez walidacji kontekstu namespace i typu secret store. Umożliwiało to nieautoryzowany dostęp do sekretów między namespace'ami, naruszając granice bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. Starting in version 0.20.2 and prior to version 1.2.0, the `getSecretKey` template function, while introduced for senhasegura Devops Secrets Management (DSM) provider, has the ability to fetch secrets cross-namespaces with the roleBinding of the external-secrets controller, bypassing our security mechanisms. This function was completely removed in version 1.2.0, as everything done with that templating function can be done in a different way while respecting External Secrets Operator's safeguards As a workaround, use a policy engine such as Kubernetes, Kyverno, Kubewarden, or OPA to prevent the usage of `getSecretKey` in any ExternalSecret resource.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS