CVE-2026-59341

Sealed Secrets denetleyicisinin kimlik doğrulaması gerektirmeyen POST uç noktalarında bir güvenlik zafiyeti bulunmaktadır. Dahili ağ erişimine sahip bir saldırgan, spec.template.data içerisinde özel Go şablon mantığı içeren değiştirilmiş bir yük göndererek, işleyiciyi herhangi bir mühürlü sırrın tam düz metnini kurtarmak için bir şifre çözme oraklısı olarak kötüye kullanabilir. POST /v1/verify ve /v1/rotate işleyicileri, hedef sırları şifresini çözmek için Unseal() fonksiyonunu çağırır ve ardından spec.template.data.* içinde bulunan tüm Go şablonlarını, şifresi çözülmüş yükü değerlendirme bağlamı olarak kullanarak oluşturur (pkg/apis/sealedsecrets/v1alpha1/sealedsecret_expansion.go). Şablon yürütme sırasında karşılaşılan hatalar, doğrudan sonuçlanan HTTP yanıt durum kodlarına yansıtılır. Eksik AEAD etiket bağlama: spec.template.data alanı, şifreli metnin meta verilere olan AEAD kimlik doğrulanmış veri etiket bağlamasından hariç tutulmuştur. Sonuç olarak bir saldırgan, hedefin geçerli meta verilerini ve encryptedData kısmını olduğu gibi kopyalayarak AEAD şifre çözme ve etiket doğrulamasını sağlayabilirken, spec.template.data alanını rastgele şablon mantığıyla serbestçe değiştirebilir. Yan kanal oraklısı: Şablon yürütme hataları doğrudan HTTP yanıt kodlarıyla eşleşir. HTTP 200 (OK), şablon yürütmenin başarılı olduğunu; HTTP 409 (Conflict) ise şablon yürütmenin başarısız olduğunu (örneğin {{ fail "..." }} aracılığıyla) belirtir. {{ if eq (substr 0 1 .password) "S" }}ok{{ else }}{{ fail "x" }}{{ end }} gibi koşullu ifadeler enjekte ederek, bir saldırgan karakter tahmini doğru olduğunda HTTP 200 durumu ve yanlış olduğunda HTTP 409 durumu alır. Bu farklılaşan yanıtlar, istek başına bir karakter eşitliği biti sızdırarak ardışık sorgular üzerinden sırrın tamamen çıkarılmasına olanak tanır. Saldırı vektörü ve önkoşullar: Kimlik doğrulaması gerekmez; denetleyicinin dahili servis portuna (:8080) ağ erişimi gerektirir. Bu servis varsayılan olarak genel internete açık olmasa da, Kubernetes kümesi içindeki herhangi bir pod veya bir kubectl port-forward bağlantısı üzerinden erişilebilirdir.