CVE-2026-39961

Aiven Operator sizin Kubernetes klasterinizdən Aiven Xidmətlərini təmin etməyə və idarə etməyə imkan verir. 0.31.0 versiyasından 0.37.0 versiyasına qədər olan dövrdə, öz namespace-ində ClickhouseUser CRD-ləri üzərində yaratma (create) icazəsi olan tərtibatçı tək bir kubectl apply əmri ilə hər hansı digər namespace-dən gizli məlumatları — istehsalat verilənlər bazasının etibarnamələrini, API açarlarını, servis tokenlərini — sızdıra bilər. Operator, qurbanın gizli məlumatlarını öz ClusterRole-u vasitəsilə oxuyur və şifrəni hücumçunun namespace-ində yeni bir gizli məlumata yazır. Operator "confused deputy" kimi çıxış edir: onun ServiceAccount-u klaster miqyasında gizli məlumatların oxunması/yazılması səlahiyyətinə malikdir (aiven-operator-role ClusterRole) və spec.connInfoSecretSource.namespace hissəsində istifadəçi tərəfindən təqdim edilən namespace dəyərlərinə yoxlama aparmadan etibar edir. Heç bir admission webhook bu sərhədi təmin etmir — ServiceUser webhook nil qaytarır və heç bir ClickhouseUser webhook mövcud deyil. Bu zəiflik 0.37.0 versiyasında aradan qaldırılıb.