CVE-2026-123059

Eclipse BaSyx Helm Charts-ın `aas-basyx-v2-full` chart-ının 2.2.0 versiyasında, daxili Keycloak aktiv edilmiş tətbiqlər `basyx-technical-user` OAuth2 klientinin klient sirrini (client secret) Kubernetes ConfigMap-də açıq mətn formatında saxlayır. Bu klient client-credentials grant növündən istifadə edir və onun servis hesabı realm `admin` roluna malikdir. Chart `keycloak.technicalUser.clientSecret` dəyərini düzgün şəkildə Kubernetes Secret-ə yazsa da, `basyx-keycloak-realm.yaml` şablonu eyni dəyəri həmçinin `<keycloak.fullnameOverride>-realm` ConfigMap-ində saxlanılan Keycloak realm-import JSON faylına əlavə edir. Release namespace-də Secret-ləri oxuya bilməyən, lakin ConfigMap-ləri oxumaq səlahiyyəti olan şəxs (məsələn, daxili Kubernetes `view` ClusterRole sahibi), klient sirrini ConfigMap-dən oxuya bilər. Daha sonra onlar bu sirri Keycloak token son nöqtəsində (endpoint) `admin` roluna malik giriş tokeni ilə dəyişdirə bilərlər. Həmin token tətbiqdəki bütün BaSyx repozitoriyaları və reyestrləri üzərində tam yaratma, oxuma, yeniləmə, silmə və icra hüquqları verir. Daxili Keycloak standart olaraq deaktiv edilmişdir. `aas-basyx-v2-full` chart-ı üçün düzəliş edilmiş versiya mövcud deyil. Təsirə məruz qalan istifadəçilər `basyx` chart-ına keçid etməli və ya daxili Keycloak olmadan tətbiqi qurmalı və `basyx-technical-user` klient sirrini dəyişməlidirlər.