CVE-2025-62159

External Secrets Operator məlumatları üçüncü tərəf xidmətindən oxuyur və dəyərləri avtomatik olaraq Kubernetes Secret-ləri kimi yerləşdirir. External Secrets Operator-un 0.10.1-dən 0.19.2-yə qədər olan versiyaları üçün BeyondTrust provayderinin tətbiqində zəiflik aşkar edilmişdir. Provayder əvvəllər namespace kontekstini və ya secret store tipini yoxlamadan Kubernetes secret-lərini birbaşa əldə edirdi. Bu, təhlükəsizlik sərhədlərini pozaraq namespace-lər arası icazəsiz secret girişinə şərait yaradırdı və həssas etibarnamələrin ifşa olunma riskini artırırdı. Versiya 0.20.0-da provayder kodu, namespace validasiyasını tətbiq edən və namespace-lər arası girişi yalnız `ClusterSecretStore` tipləri üçün icazə verən `resolvers.SecretKeyRef` utilitini istifadə etmək üçün yenilənmişdir. Bu, secret-lərin yalnız düzgün namespace-dən əldə edilməsini təmin edərək icazəsiz giriş riskini azaldır. Bütün istifadəçilər bu düzəlişi ehtiva edən ən son versiyaya yüksəltmə etməlidirlər. Müvəqqəti həll yolu kimi, BeyondTrust provayderinin istifadəsini önləmək və/və ya `(Cluster)SecretStore`-u yoxlayaraq namespace-in yalnız `ClusterSecretStore` istifadə edildikdə təyin oluna biləcəyini təmin etmək üçün Kyverno və ya OPA kimi siyasət mühərriklərindən istifadə edin.