JVNDB-2026-004123

external-secretsのexternal secrets operatorにおける不正な認証に関する脆弱性

External Secrets Operatorは、サードパーティサービスから情報を読み取り、その値をKubernetes Secretsとして自動的に注入します。バージョン0.20.2から1.2.0未満の間に導入された`getSecretKey`テンプレート関数は、senhasegura Devops Secrets Management（DSM）プロバイダー用に導入されましたが、external-secretsコントローラーのroleBindingを使用してクロスネームスペースでシークレットを取得することができ、当社のセキュリティメカニズムをバイパスしてしまいます。この機能はバージョン1.2.0で完全に削除されました。このテンプレート関数で行われていたことは、External Secrets Operatorのセーフガードを尊重しつつ、別の方法で実行可能だからです。回避策としては、Kubernetes、Kyverno、Kubewarden、またはOPAのようなポリシーエンジンを使用して、任意のExternalSecretリソース内で`getSecretKey`の使用を防止する必要があります。

external-secrets

• external secrets operator 0.20.2 以上 1.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Insecure Secret Retrieval through `getSecretKey` templating function  Advisory  external-secrets/external-secrets  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-22822

1. National Vulnerability Database (NVD) : CVE-2026-22822
2. 関連文書 : `getSecretKey` template function shouldn't exist  Issue #5690  external-secrets/external-secrets
3. 関連文書 : feat: add support for decryption scheme from properties in senhasegura Devops Secrets Management (DSM) provider by felipeosantos  Pull Request #3895  external-secrets/external-secrets  GitHub
4. 関連文書 : Release v1.2.0  external-secrets/external-secrets  GitHub
5. 関連文書 : fix!: Get rid of getSecretKey (#5738)  external-secrets/external-secrets@17d3e22  GitHub

• [2026年02月20日]
    掲載