CVE-2026-123047

Eclipse BaSyx Helm Charts-ın `basyx` chart-ının 3.0.0-rc.1-dən 3.12.1-ə qədər olan versiyalarında, daxil edilmiş Keycloak aktiv edilmiş tətbiqlərdə, chart tərəfindən yaradılan Keycloak istifadəçilərinin şifrələri Kubernetes ConfigMap-də açıq mətn formatında saxlanılır. `keycloak-init-config.yaml` şablonu hər bir istifadəçinin `credentials[].value` dəyəri daxil olmaqla `keycloak.initialization.users` hissəsini dayanıqlı ConfigMap `<release>-basyx-keycloak-init-config`-ə `users.json` kimi yazırdı. Defolt olaraq bura bootstrap administrator istifadəçisi daxildir. Həmin istifadəçi `admin` roluna malikdir və müvəqqəti olmayan şifrəsi var. Release namespace-ində Secret-ləri oxuya bilməyən, lakin ConfigMap-ləri oxumaq imkanı olan subyekt (məsələn, daxili Kubernetes `view` ClusterRole sahibi), şifrəni ConfigMap-dən oxuyub bu istifadəçi kimi Keycloak-a daxil ola bilər. Nəticədə əldə edilən token `admin` rolunu daşıyır ki, bu da defolt BaSyx ABAC qaydaları vasitəsilə tətbiqdəki bütün BaSyx API-ları üzərində tam hüquqlara uyğunlaşdırılır. Daxil edilmiş Keycloak defolt olaraq deaktivdir. Problem `basyx` chart-ının 3.12.2 versiyasında düzəldilib və burada ilkin istifadəçilər Keycloak credentials Secret-nə köçürülüb. Təsirə məruz qalmış istifadəçilər versiyanı yeniləməli və chart vasitəsilə yaradılmış istifadəçilərin şifrələrini dəyişməlidirlər.