BaSyx 舊版 Helm chart 將 Keycloak client secret 明文存於 ConfigMap

情報摘要

Eclipse 公開 CVE-2026-123059：aas-basyx-v2-full Helm chart 2.2.0 在啟用內建 Keycloak 時，會把技術使用者 OAuth2 client secret 明文存入 Kubernetes ConfigMap。可讀取相關 ConfigMap 的主體即使沒有 Secret 讀取權限，仍可能取得具管理角色的憑證，影響此部署的 BaSyx repositories 及 registries。內建 Keycloak 預設關閉；此 chart 沒有修補發行版，官方建議遷移至 basyx chart，或不使用內建 Keycloak 並輪替 client secret。

CNA 指出，同一 client secret 雖有存入 Kubernetes Secret，仍被重複寫入持續存在的 realm-import ConfigMap。該 OAuth2 client 的服務帳戶具有 realm admin 角色，可能令持有憑證者對此部署的 BaSyx repositories 及 registries 取得完整建立、讀取、更新、刪除及執行權限。此影響不等同已證實取得 Kubernetes 叢集管理員權限。

此漏洞與 CVE-2026-123047 不同：本案涉及 aas-basyx-v2-full 2.2.0 的 OAuth2 client secret，另一案涉及 basyx chart 的使用者密碼。不能把另一案的 basyx 3.12.2 修正版本當作本 chart 的修補版本。

Eclipse CNA 的 CVE 記錄於 2026 年 11 月 5 日 13:13:17 UTC（香港時間 21:13）發布。這是記錄公開日期，發現或入侵日期未能核實。

受影響產品

Eclipse BaSyx 的 aas-basyx-v2-full Helm chart 2.2.0，且 keycloak.enabled=true。內建 Keycloak 預設關閉；官方表示沒有此 chart 的固定修補發行版。

適用讀者

使用 aas-basyx-v2-full chart 2.2.0，並啟用內建 Keycloak 的 Kubernetes、BaSyx 及工業物聯網平台營運團隊。

建議行動

核對 chart 名稱、版本及是否啟用內建 Keycloak。依 Eclipse CNA 建議，受影響部署應遷移至 basyx chart，或改為不使用內建 Keycloak 並輪替 basyx-technical-user 的 client secret。遷移前須核對目標 chart 的安全公告及配置；一般防護上亦應檢視相關命名空間的 ConfigMap 存取權限及憑證使用紀錄，按組織程序評估過往暴露風險。

風險評級依據

Eclipse CNA 評為 CVSS 3.1 7.5（High），向量為 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H。此評分包含低權限及高攻擊複雜度條件，並非無需權限即可任意讀取憑證。

解讀限制

只有啟用 chart 內建 Keycloak 的部署符合官方配置條件；此選項預設關閉，不能推定所有 BaSyx 或 Keycloak 部署受影響。

利用情境需要相關命名空間的 ConfigMap 讀取權限；所核對來源未確認野外利用，亦未確認香港受影響個案或部署數量。

官方 CVE 記錄列出的 GitHub Security Advisory 在本次讀取回傳 404；本文依據 Eclipse CNA 原始 CVE 記錄，不把未讀到的公告視為已驗證。

資料來源

• Eclipse CNA：CVE-2026-123059 原始 CVE 記錄 ↗來源刊登：2026-11-05