Bypass de la suplantación de identidad en la interfaz de usuario web de Flux Operator a través de claims OIDC vacías en github.com/controlplaneio-fluxcd/flux-operator

Un atacante que explote esta vulnerabilidad puede eludir los controles de autenticación en el UI de Flux Operator. Esto significa que pueden acceder a la funcionalidad del operador con los privilegios del usuario impersonado, lo que podría incluir la modificación de configuraciones de despliegue, la manipulación de recursos de Kubernetes y el acceso a información sensible. El impacto potencial es significativo, ya que permite un control no autorizado sobre la infraestructura gestionada por Flux Operator. Aunque no se ha reportado explotación activa, la facilidad de explotación y el acceso que otorga hacen que esta vulnerabilidad sea una preocupación importante.

Organizations utilizing Flux Operator for GitOps deployments, particularly those relying on OIDC for authentication, are at risk. Shared Kubernetes clusters where multiple teams or applications share resources are especially vulnerable, as a compromised account could potentially impact a wider range of deployments. Legacy Flux Operator configurations with relaxed OIDC claim validation are also at increased risk.

• linux / server: Examine auditd logs for authentication attempts using OIDC tokens. Look for patterns indicating empty claims being accepted.

auditctl -l | grep -i oidc

• go / platform: Monitor Flux Operator logs for errors related to OIDC claim validation.

// Example: Check for empty claims in your OIDC validation logic
if claims.Subject == "" || claims.Groups == nil { // Add more checks as needed
  return nil, errors.New("Invalid OIDC claims")
}

• generic web: If Flux Operator exposes a management API, test authentication with a crafted OIDC token containing empty claims to verify the impersonation bypass is prevented after patching.

1. 2026-02-02Disclosure

   disclosure

1. Reservado2026-01-19
2. Publicada2026-02-02
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 0.40.0 de Flux Operator, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda revisar y endurecer la configuración de OIDC (OpenID Connect). Específicamente, asegúrese de que el proveedor de identidad (IdP) esté configurado para devolver claims obligatorios y no vacíos. Implementar políticas de acceso basadas en roles (RBAC) en Kubernetes puede limitar el daño potencial en caso de que un atacante logre la impersonación. Monitorear los logs del Flux Operator en busca de intentos de autenticación inusuales también puede ayudar a detectar y responder a posibles ataques.