CVE-2026-123047

Eclipse BaSyx Helm Charts'ın `basyx` chart'ının 3.0.0-rc.1 ile 3.12.1 arasındaki sürümlerinde, beraberindeki Keycloak etkinleştirilmiş olan dağıtımlar, chart tarafından oluşturulan Keycloak kullanıcılarının parolalarını bir Kubernetes ConfigMap içerisinde açık metin olarak saklamaktadır. `keycloak-init-config.yaml` şablonu; her kullanıcının `credentials[].value` bilgisi dahil olmak üzere `keycloak.initialization.users` kısmını, kalıcı ConfigMap `<release>-basyx-keycloak-init-config` içerisine `users.json` olarak işlemiştir. Bu durum varsayılan olarak bootstrap yönetici kullanıcısını da kapsamaktadır. Söz konusu kullanıcı `admin` rolüne sahiptir ve geçici olmayan bir parolaya sahiptir. Yayınlama ad alanında (namespace) Secret'ları okuyamayan ancak ConfigMap'leri okuyabilen, yerleşik Kubernetes `view` ClusterRole sahibi gibi bir kimlik, parolayı ConfigMap üzerinden okuyabilir ve bu kullanıcı olarak Keycloak'a giriş yapabilir. Elde edilen belirteç (token), varsayılan BaSyx ABAC kurallarının dağıtımdaki tüm BaSyx API'lerinde tam yetkiye eşlediği `admin` rolünü taşımaktadır. Beraberindeki Keycloak varsayılan olarak devre dışıdır. Sorun, başlatma kullanıcılarını Keycloak credentials Secret'ına taşıyan `basyx` chart'ının 3.12.2 sürümünde düzeltilmiştir. Etkilenen kullanıcıların yükseltme yapması ve chart aracılığıyla oluşturulan kullanıcıların parolalarını değiştirmesi önerilir.