🇰🇷 한글 설명
External Secrets Operator의 BeyondTrust 제공자에서 Kubernetes 시크릿 검색 시 namespace 검증이 부재하여, 권한 없는 사용자가 다른 namespace의 시크릿에 무단 접근할 수 있는 취약점입니다. 0.10.1부터 0.19.2 버전이 영향받으며, 0.20.0에서 namespace 검증을 강제하여 수정되었습니다.
💡 쉬운 설명
쿠버네티스의 외부 시크릿 관리 도구에서 보안 경계(namespace)를 확인하지 않아, 권한 없는 사용자가 다른 구역의 민감한 비밀정보에 접근할 수 있는 문제입니다. 버전 0.20.0 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
External Secrets Operator reads information from a third-party service and automatically injects the values as Kubernetes Secrets. A vulnerability was discovered in the BeyondTrust provider implementation for External Secrets Operator versions 0.10.1 through 0.19.2. The provider previously retrieved Kubernetes secrets directly, without validating the namespace context or the type of secret store. This allowed unauthorized cross-namespace secret access, violating security boundaries and potentially exposing sensitive credentials. In version 0.20.0, the provider code was updated to use the `resolvers.SecretKeyRef` utility, which enforces namespace validation and only allows cross-namespace access for `ClusterSecretStore` types. This ensures secrets are only retrieved from the correct namespace, mitigating the risk of unauthorized access. All users should upgrade to the latest version containing this fix. As a workaround, use a policy engine such as Kyverno or OPA to prevent using BeyondTrust provider and/or validate the `(Cluster)SecretStore` and ensure the namespace may only be set when using a `ClusterSecretStore`.
📍 영향받는 시스템
External Secrets Operator BeyondTrust provider 0.10.1 ~ 0.19.2
⚔️ 공격 벡터
권한 없는 사용자가 BeyondTrust 제공자를 통해 허용되지 않은 namespace의 Kubernetes 시크릿에 직접 접근
🛡️ 대응 방법
External Secrets Operator를 0.20.0 이상으로 업그레이드하거나 Kyverno/OPA로 BeyondTrust 제공자 사용 제한
🔧 검증 코드
출력된 버전이 0.20.0 이상이면 패치됨, 0.10.1~0.19.2면 즉시 업그레이드 필요
kubectl get deployment -n external-secrets-system -o jsonpath='{.items[0].spec.template.spec.containers[0].image}' 2>/dev/null | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+'