Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en External Secrets Operator (CVE-2025-55196)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-284 Control de acceso incorrecto
Fecha de publicación:
13/08/2025
Última modificación:
14/08/2025

Descripción

External Secrets Operator de Kubernetes que integra sistemas externos de gestión de secretos. Desde la versión 0.15.0 hasta la 0.19.2, se descubrió una vulnerabilidad en la que las llamadas List() para los recursos Secret y SecretStore de Kubernetes, realizadas por el controlador PushSecret, no aplicaban un selector de espacio de nombres. Esta falla permitía a un atacante usar selectores de etiquetas para listar y leer secretos y almacenes de secretos en el clúster, eludiendo las restricciones de espacio de nombres previstas. Un atacante con la capacidad de crear o actualizar recursos PushSecret y controlar las configuraciones de SecretStore podría explotar esta vulnerabilidad para extraer datos confidenciales de espacios de nombres arbitrarios. Esto podría provocar la divulgación completa de secretos de Kubernetes, incluyendo credenciales, tokens y otra información confidencial almacenada en el clúster. Esta vulnerabilidad se ha corregido en la versión 0.19.2. Una solución alternativa para este problema incluye auditar y restringir los permisos RBAC para que solo las cuentas de servicio de confianza puedan crear o actualizar recursos PushSecret y SecretStore.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0
7.10
Gravedad 4.0
ALTA

Referencias a soluciones, herramientas e información