CVE-2026-123059

Eclipse BaSyx Helm Charts'ın `aas-basyx-v2-full` chart sürüm 2.2.0'ında, beraberinde gelen Keycloak etkinleştirilmiş dağıtımlar, `basyx-technical-user` OAuth2 istemcisinin istemci sırrını (client secret) bir Kubernetes ConfigMap içerisinde açık metin olarak saklamaktadır. Bu istemci, client-credentials grant yöntemini kullanır ve servis hesabı realm `admin` rolüne sahiptir. Chart, `keycloak.technicalUser.clientSecret` değerini bir Kubernetes Secret içerisine doğru şekilde yazar; ancak `basyx-keycloak-realm.yaml` şablonu aynı değeri, `<keycloak.fullnameOverride>-realm` ConfigMap'inde saklanan Keycloak realm-import JSON dosyasına da yerleştirmektedir. Release ad alanındaki (namespace) Secret'ları okuyamayan ancak ConfigMap'leri okuyabilen, örneğin yerleşik Kubernetes `view` ClusterRole sahibi olan bir yetkili, istemci sırrını ConfigMap üzerinden okuyabilir. Ardından bu sırrı, Keycloak token uç noktasında `admin` rolüne sahip bir erişim belirteci (access token) ile takas edebilirler. Bu belirteç, dağıtımdaki tüm BaSyx depoları ve kayıt defterleri üzerinde tam oluşturma, okuma, güncelleme, silme ve yürütme hakları sağlar. Beraberinde gelen Keycloak varsayılan olarak devre dışıdır. `aas-basyx-v2-full` chart için düzeltilmiş bir sürüm mevcut değildir. Etkilenen kullanıcılar `basyx` chart'ına geçiş yapmalı veya beraberinde gelen Keycloak olmadan kurulum gerçekleştirmeli ve `basyx-technical-user` istemci sırrını yenilemelidir.