- Yama var
- Son 7 gün
- CWE-312
- CWE-522
CVE-2026-123047
Eclipse BaSyx Helm Charts: Keycloak yönetici parolası ConfigMap içinde açık metin olarak saklanıyor
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- eclipse
Yönetici özeti
Bu açık, yetkisiz bir kullanıcının yönetici hesabına ele geçirmesine ve sistemin tamamının denetimini almasına yol açabilir. Etkilenen dağıtımlar hızla güncellenmeli ve chart'ta oluşturulan kullanıcıların parolaları değiştirilmelidir.
ÖzetTürkçe
Eclipse BaSyx Helm Charts'ın basyx chart'ının 3.0.0-rc.1 ile 3.12.1 arasındaki sürümlerinde, paketle gelen Keycloak etkinleştirildiğinde, chart'ın oluşturduğu Keycloak kullanıcılarının parolaları Kubernetes ConfigMap içinde açık metin olarak saklanıyor. Bu varsayılan olarak yönetici kullanıcıyı da kapsıyor. Etkilenen kurulumları, özellikle BaSyx dağıtımlarını Kubernetes üzerinde çalıştıran ekipleri ilgilendiriyor.
Saldırgan ne yapabilir?
Release namespace içinde ConfigMap okuyabilen ancak Secret okuyamayan bir saldırgan, parolayı okuyup Keycloak'a yönetici rolüyle giriş yapabilir. Bu da varsayılan BaSyx ABAC kuralları üzerinden tüm BaSyx API'lerine tam yetki anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
In Eclipse BaSyx Helm Charts versions 3.0.0-rc.1 to 3.12.1 of the basyx chart, deployments with the bundled Keycloak enabled store the passwords of the Keycloak users that the chart creates in cleartext in a Kubernetes ConfigMap.
The template keycloak-init-config.yaml rendered keycloak.initialization.users, including each user's credentials[].value, as users.json into the persistent ConfigMap <release>-basyx-keycloak-init-config. By default this includes the bootstrap administrator user. That user holds the admin role and has a non-temporary password. A principal that can read ConfigMaps but not Secrets in the release namespace, such as a holder of the built-in Kubernetes view ClusterRole, can read the password from the ConfigMap and log in to Keycloak as this user. The resulting token carries the admin role, which the default BaSyx ABAC rules map to full rights on all BaSyx APIs in the deployment.
The bundled Keycloak is disabled by default. The issue is fixed in version 3.12.2 of the basyx chart, which moves the initialization users to the Keycloak credentials Secret. Affected users should upgrade and change the passwords of users that were created through the chart.
Ne yapmalı?
- basyx chart'ını 3.12.2 veya üzeri bir sürüme yükseltin. Bu sürüm, başlatma kullanıcılarını Keycloak kimlik bilgileri Secret'ına taşır. Üretici
- Chart üzerinden oluşturulmuş kullanıcıların, özellikle yönetici kullanıcının parolalarını değiştirin. Genel öneri
- Eski ConfigMap'in içinde parola bilgisi kalıp kalmadığını kontrol edin ve gerekirse ilgili ConfigMap'i silin. Genel öneri
Ek önlemler
- Keycloak'ı yalnızca gerekli olduğunda etkinleştirin; varsayılan olarak devre dışı bırakılmış olması korunmalıdır. Genel öneri
- Release namespace içindeki ConfigMap okuma yetkilerini, özellikle view ClusterRole gibi geniş yetkileri gözden geçirin ve gereksiz erişimleri kaldırın. Genel öneri
- Keycloak'taki yönetici girişlerini ve olağandışı oturum açmalarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse BaSyx Helm Charts | ≥ 3.0.0-rc.1, < 3.12.2 | 3.12.2 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.