CVE-2025-29781

Bare Metal Operator (BMO), Metal3 içindeki çıplak metal (bare metal) ana makineleri yönetmek için bir Kubernetes API'si uygular. Baremetal Operator, namespace kapsamlı `BMCEventSubscription` Özel Kaynağı'nın dağıtımı sırasında kullanıcıların rastgele namespace'lerden Secret yüklemesine olanak tanır. Versiyonlar 0.8.1 ve 0.9.1 öncesinde, yalnızca namespace düzeyinde rollere sahip saldırgan bir Kubernetes hesabı (örneğin, bir namespace'i kontrol eden bir kiracı), yetkili olduğu namespace'de bir `BMCEventSubscription` oluşturabilir ve ardından Baremetal Operator aracılığıyla yetkisiz olduğu namespace'lerdeki Secret'ları yetkili olduğu namespace'e yükleyerek Secret Sızıntısına neden olabilir. Yama, BMO'nun ilgili BMH kaynağının bulunduğu namespace dışındaki Secret'ları okumayı reddetmesini sağlar. Yama, BMO'daki `BMCEventSubscription` API'sini değiştirmez ancak daha sıkı doğrulama, isteği kabul aşamasında başarısız kılacaktır. Ayrıca, BMCES CR halihazırda dağıtılmışsa, denetleyicinin bu tür Secret'ları okumasını da önleyecektir. Sorun tüm BMO versiyonlarında mevcuttur ve BMO sürümleri v0.9.1 ve v0.8.1 ile düzeltilmiştir. Yamalanmış BMO versiyonuna yükseltmeden önce, `BMCEventSubscription`'ın `httpHeadersRef` tarafından işaret edilen mevcut herhangi bir Secret'ı, ilgili BMH'nin bulunduğu aynı namespace'e kopyalayın. Yükseltmeden sonra eski Secret'ları kaldırın. Bir geçici çözüm olarak operatör, BMO'nun diğer namespace'lerdeki Secret'lara erişimini engellemek için BMO RBAC yapılandırmasını küme kapsamlı yerine namespace kapsamlı olarak ayarlayabilir ve/veya BMO'yu tek bir namespace ile sınırlandırmak için `WATCH_NAMESPACE` yapılandırma seçeneğini kullanabilir.