Une faille dans Bitnami Sealed Secrets permet de contourner les restrictions de namespace

Bitnami Sealed Secrets, un outil de gestion de secrets pour les clusters Kubernetes, présente une vulnérabilité logique identifiée sous le numéro CVE-2026-22728 (score CVSS de 4,9). Publiée le 26 février 2026, cette faille affecte les contrôleurs de version inférieure à 0,36.0 et permet à des attaquants privilégiés de contourner les restrictions de namespace, élargissant la portée des secrets chiffrés à l’ensemble du cluster. Bitnami Sealed Secrets est largement adopté dans les pratiques GitOps pour chiffrer les informations sensibles avant leur stockage dans des dépôts Git, en limitant habituellement leur déchiffrement à un namespace spécifique. Cette vulnérabilité exploite un problème classique de type « Time-of-Check to Time-of-Use » (TOCTOU), survenant entre les phases de déchiffrement et de réchiffrement lors de la rotation des clés. Un attaquant doté de privilèges élevés peut ainsi injecter des métadonnées malveillantes, transformant un secret restreint en secret accessible partout dans le cluster. Ce mécanisme défaillant met en lumière les défis récurrents de gestion des secrets dans les environnements Kubernetes. Le défaut se concentre sur l’endpoint /v1/rotate, où la vérification des métadonnées dupliquées via reflect.DeepEqual sur l’objet Template ObjectMeta reste insuffisante. Le commit de correction d57ee4a introduit une validation plus stricte pour y remédier. Une preuve de concept existe sous forme de test unitaire TestRotateKeepScope sur GitHub, confirmant une attaque réseau de type CWE-668 avec un impact direct sur la confidentialité des données. La version 0,36.0 résout le problème grâce à cette validation renforcée des métadonnées. Les administrateurs doivent mettre à jour leurs contrôleurs sans délai, ou restreindre l’accès à l’API via des règles RBAC et des politiques réseau, tout en auditant les journaux pour repérer des rotations suspectes. Cette faille rappelle l’importance cruciale d’une gestion rigoureuse des secrets dans les workflows GitOps, où toute exposition potentielle peut compromettre la sécurité globale des déploiements Kubernetes.