CVE-2026-54725
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
vault-secrets-webhook w wersjach przed 1.23.1 zawiera podatność, która pozwala na wysłanie tokena JWT konta ServiceAccount na adres Vault kontrolowany przez atakującego. Funkcja parseVaultConfig() akceptuje adnotację vault.security.banzaicloud.io/vault-addr, a MutateConfigMap i MutateSecret wywołują newVaultClient, co może spowodować przekazanie tokena do niebezpiecznego serwera.
Ocena ryzyka
Atakujący może przechwycić token JWT konta ServiceAccount, co może prowadzić do nieautoryzowanego dostępu do Vault i zarządzanych przez niego sekretów, potencjalnie kompromitując cały klaster Kubernetes.
Rekomendacja
Należy zaktualizować vault-secrets-webhook do wersji 1.23.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać używania adnotacji vault.security.banzaicloud.io/vault-addr z niezaufanymi wartościami.
Oryginalny opis (angielski, źródło NVD)
vault-secrets-webhook is a Kubernetes mutating webhook that makes direct secret injection into Pods possible. Prior to 1.23.1, parseVaultConfig() in pkg/webhook/config.go accepts the vault.security.banzaicloud.io/vault-addr annotation, MutateConfigMap and MutateSecret call newVaultClient in pkg/webhook/webhook.go, and vault.security.banzaicloud.io/vault-serviceaccount can cause a ServiceAccount JWT to be sent to an attacker-controlled Vault address. This issue is fixed in version 1.23.1.