CVE-2025-55196

Nome do Software Vulnerável e Versões Afetadas: Versões 0.15.0 a 0.19.1 do External Secrets Operator

Descrição: Foi descoberta uma falha no External Secrets Operator onde chamadas List() para recursos Secret e SecretStore do Kubernetes, realizadas pelo controlador PushSecret, não aplicavam um seletor de namespace. Isso permitiu que um atacante usasse seletores de label para listar e ler secrets/secret-stores em todo o cluster, contornando as restrições de namespace pretendidas. Um atacante com a capacidade de criar ou atualizar recursos PushSecret e controlar configurações de SecretStore poderia explorar isso para exfiltrar dados sensíveis de namespaces arbitrários, potencialmente levando à divulgação completa de secrets do Kubernetes, incluindo credenciais e tokens.

Recomendações: Atualize para a versão 0.19.2 ou posterior para resolver este problema. Restrinja as permissões RBAC para que apenas contas de serviço confiáveis possam criar ou atualizar recursos PushSecret e SecretStore. Audite os recursos PushSecret e SecretStore existentes para garantir que sejam controlados por partes confiáveis.