CVE-2025-62159

External Secrets Operator, üçüncü taraf bir hizmetten bilgi okur ve değerleri otomatik olarak Kubernetes Secret'ları şeklinde enjekte eder. External Secrets Operator versiyonları 0.10.1 ile 0.19.2 arasındaki BeyondTrust sağlayıcı uygulamasında bir güvenlik açığı keşfedilmiştir. Sağlayıcı daha önce, namespace bağlamını veya secret store türünü doğrulamadan Kubernetes secret'larını doğrudan almaktaydı. Bu durum, güvenlik sınırlarını ihlal ederek yetkisiz çapraz namespace secret erişimine izin vermiş ve potansiyel olarak hassas kimlik bilgilerini açığa çıkarmıştır. Versiyon 0.20.0'da, sağlayıcı kodu, namespace doğrulamasını zorunlu kılan ve yalnızca `ClusterSecretStore` türleri için çapraz namespace erişimine izin veren `resolvers.SecretKeyRef` yardımcı programını kullanacak şekilde güncellenmiştir. Bu, secret'ların yalnızca doğru namespace'den alınmasını sağlayarak yetkisiz erişim riskini azaltır. Tüm kullanıcılar bu düzeltmeyi içeren en son versiyona yükseltme yapmalıdır. Geçici bir çözüm olarak, BeyondTrust sağlayıcısının kullanılmasını önlemek ve/veya `(Cluster)SecretStore`'u doğrulamak ve namespace'in yalnızca bir `ClusterSecretStore` kullanılırken ayarlanabildiğinden emin olmak için Kyverno veya OPA gibi bir politika motoru kullanın.