Podatności External Secrets Operator

External Secrets Operator w wersjach od 0.10.0 do 1.3.1 zawiera błąd w inicjalizacji generatora webhook, który czyści flagę EnforceLabels po jej ustawieniu. Powoduje to pominięcie sprawdzenia etykiety external-secrets.io/type=webhook, umożliwiając operację, która powinna zakończyć się błędem. Wersja 1.3.2 zawiera poprawkę.

Podatność w External Secrets Operator (wersje 0.20.2 do 1.2.0) pozwala na ominięcie mechanizmów bezpieczeństwa dzięki funkcji `getSecretKey`, która umożliwia pobieranie sekretów z innych przestrzeni nazw (namespace) przy użyciu roli wiązania (roleBinding) kontrolera. Funkcja ta została całkowicie usunięta w wersji 1.2.0.

W External Secrets Operator w wersjach 0.10.1 do 0.19.2 dostawca BeyondTrust pobierał sekrety Kubernetes bez walidacji kontekstu namespace i typu secret store. Umożliwiało to nieautoryzowany dostęp do sekretów między namespace'ami, naruszając granice bezpieczeństwa.