CVE-2026-123047 Contraseña de usuario admin de Keycloak almacenada en texto claro en un ConfigMap en Eclipse BaSyx Helm Charts
En las versiones 3.0.0-rc.1 a 3.12.1 del chart basyx, las implementaciones con el Keycloak incluido habilitado guardan en texto claro las contraseñas de los usuarios de Keycloak que crea el chart en un ConfigMap de Kubernetes, incluido por defecto el usuario administrador de arranque con rol admin. Un principal que puede leer ConfigMaps pero no Secrets en el namespace del release, como quien tiene el ClusterRole view de Kubernetes, puede leer la contraseña y autenticarse en Keycloak como ese usuario, cuyo token…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 11
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Eclipse Foundation Eclipse BaSyx Helm Charts
desde 3.0.0-rc.1 hasta antes de 3.12.2
Qué hacer
- Verificá si usás Eclipse BaSyx Helm Charts y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
In Eclipse BaSyx Helm Charts versions 3.0.0-rc.1 to 3.12.1 of the `basyx` chart, deployments with the bundled Keycloak enabled store the passwords of the Keycloak users that the chart creates in cleartext in a Kubernetes ConfigMap.
The template `keycloak-init-config.yaml` rendered `keycloak.initialization.users`, including each user's `credentials[].value`, as `users.json` into the persistent ConfigMap `<release>-basyx-keycloak-init-config`. By default this includes the bootstrap administrator user. That user holds the `admin` role and has a non-temporary password. A principal that can read ConfigMaps but not Secrets in the release namespace, such as a holder of the built-in Kubernetes `view` ClusterRole, can read the password from the ConfigMap and log in to Keycloak as this user. The resulting token carries the `admin` role, which the default BaSyx ABAC rules map to full rights on all BaSyx APIs in the deployment.
The bundled Keycloak is disabled by default. The issue is fixed in version 3.12.2 of the `basyx` chart, which moves the initialization users to the Keycloak credentials Secret. Affected users should upgrade and change the passwords of users that were created through the chart.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.