CVE-2026-42876
Açıklama
External Secrets Operator, üçüncü taraf bir hizmetten bilgi okur ve değerleri otomatik olarak Kubernetes Secret'ları şeklinde enjekte eder. 2.4.1 sürümünden önce, yalnızca ExternalSecret kaynakları oluşturma iznine sahip olan bir kullanıcı, operatörün Kubernetes tarafından belirtilen servis hesabı için uzun ömürlü bir token ile otomatik olarak doldurulacak bir Secret oluşturmasına neden olabilir. Bu durum, kullanıcının TokenRequest veya bu türdeki Secret'lar üzerinde doğrudan oluşturma izinlerine ihtiyaç duymadan, isim alanı içindeki herhangi bir servis hesabının kimliğine bürünmesine olanak tanır. Bu güvenlik açığı 2.4.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/external-secrets/external-secrets/apis2.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/external-secrets/external-secrets/apisGo | 0.1.0 ≤ v < 2.4.1, Aralık belirtilmemiş | 2.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.