Aiven Operator heeft cross-namespace secret exfiltratie via ClickhouseUser connInfoSecretSource

Deze kwetsbaarheid stelt een aanvaller in staat om geheimen te stelen die opgeslagen zijn in Kubernetes Secrets in andere namespaces. De aanvaller heeft alleen 'create' permissies nodig op ClickhouseUser CRDs in hun eigen namespace. De operator, die een 'confused deputy' patroon vertoont, leest de geheimen van het slachtoffer met behulp van zijn ClusterRole en schrijft het wachtwoord in een nieuwe secret in de namespace van de aanvaller. Dit kan leiden tot ongeautoriseerde toegang tot databases, API's en andere gevoelige resources. De impact is aanzienlijk, aangezien de aanvaller potentieel de controle kan overnemen van kritieke applicaties en data kan compromitteren.

Organizations utilizing the Aiven Operator to manage Aiven services within Kubernetes clusters are at risk. This includes those with multiple namespaces containing sensitive secrets, as well as those who have granted overly permissive roles to developers or service accounts. Shared Kubernetes environments and those relying on default configurations are particularly vulnerable.

• linux / server:

jauditd -l | grep 'aiven-operator' | grep 'read secret'

• kubernetes / audit: Review Kubernetes audit logs for events where the aiven-operator ServiceAccount attempts to read secrets from namespaces it shouldn't have access to. Look for get operations on Secret resources with unusual namespace specifications. • kubernetes / yaml: Inspect ClickhouseUser CRD configurations for suspicious connInfoSecretSource.namespace values that might be attempting to target other namespaces.

1. 2026-04-10Disclosure

   disclosure

1. Gereserveerd2026-04-07
2. Gepubliceerd2026-04-10
3. EPSS bijgewerkt2026-04-17

De primaire mitigatie is het upgraden van de Aiven Operator naar versie 0.37.0 of hoger. Dit corrigeert de kwetsbaarheid door de validatie van namespace-waarden in spec.connInfoSecretSource te verbeteren. Als een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de permissies van de ServiceAccount die door de operator wordt gebruikt, zodat deze geen cluster-wide secret read/write toegang meer heeft. Controleer ook de Kubernetes RBAC configuratie om te zorgen dat ontwikkelaars niet onnodig 'create' permissies hebben op ClickhouseUser CRDs. Na de upgrade, bevestig de correcte werking door te controleren of de operator correct functioneert en dat er geen ongeautoriseerde secret access plaatsvindt.