CVE-2026-59341

Sealed Secrets kontrollerinin autentifikasiya olunmamış POST son nöqtələrində təhlükəsizlik boşluğu mövcuddur. Daxili şəbəkəyə çıxışı olan hücumçu, spec.template.data bölməsində xüsusi Go şablon məntiqi ehtiva edən dəyişdirilmiş fayl göndərməklə, həndlerdən dekripsiya oraklı kimi istifadə edib hər hansı mühürlənmiş sirrin tam açıq mətnini bərpa edə bilər. POST /v1/verify və /v1/rotate həndlerləri hədəf sirləri dekriptsiya etmək üçün Unseal() funksiyasını çağırır, sonra isə dekriptsiya edilmiş faylı qiymətləndirmə konteksti kimi istifadə edərək spec.template.data.* daxilində tapılan bütün Go şablonlarını render edir (pkg/apis/sealedsecrets/v1alpha1/sealedsecret_expansion.go). Şablonun icrası zamanı rast gəlinən xətalar birbaşa nəticəvi HTTP cavab status kodlarında əks olunur. AEAD etiket bağlamasının çatışmazlığı: spec.template.data sahəsi AEAD autentifikasiya edilmiş məlumat etiketinin şifrəli mətndən metaməlumatlara bağlanmasından kənarda saxlanılıb. Nəticədə, hücumçu hədəfin düzgün metaməlumatlarını və encryptedData hissəsini olduğu kimi kopyalayaraq AEAD dekripsiyasını və etiket yoxlamasını təmin edə bilər, eyni zamanda spec.template.data sahəsini istənilən şablon məntiqi ilə əvəz edə bilər. Yan kanal oraklı: şablonun icra xətaları birbaşa HTTP cavab kodlarına uyğunlaşdırılır. HTTP 200 (OK) şablonun icrasının uğurlu olduğunu; HTTP 409 (Conflict) isə şablonun icrasının uğursuz olduğunu (məsələn, {{ fail "..." }} vasitəsilə) göstərir. {{ if eq (substr 0 1 .password) "S" }}ok{{ else }}{{ fail "x" }}{{ end }} kimi şərt operatorları yerləşdirməklə, hücumçu simvol təxmini doğru olduqda HTTP 200 statusu, yanlış olduqda isə HTTP 409 statusu alır. Bu differensial cavab hər sorğu başına bir simvol bərabərliyi bitini sızdırır ki, bu da ardıcıl sorğularla sirrin tamamilə çıxarılmasına imkan verir. Hücum vektoru və ön şərtlər: autentifikasiyasız; kontrollerin daxili servis portuna (:8080) şəbəkə çıxışı tələb olunur. Bu servis standart olaraq ictimai internetə açıq olmasa da, Kubernetes klasterindəki hər hansı poda və ya kubectl port-forward bağlantısı vasitəsilə əlçatandır.