Eclipse BaSyx Helm 將 Keycloak 密碼明文存於 ConfigMap；須升級並輪替密碼
情報摘要
Eclipse 公開 CVE-2026-123047：basyx Helm chart 3.0.0-rc.1 至 3.12.1 在啟用內建 Keycloak 時，會把由 chart 建立的使用者密碼明文存入 Kubernetes ConfigMap，包括預設的啟動管理員。具相關命名空間 ConfigMap 讀取權限的主體，即使不能讀取 Secrets，亦可能取得憑證。內建 Keycloak 預設關閉；3.12.2 已修正，受影響部署還須更改經 chart 建立的使用者密碼。
Eclipse CNA 指出，問題涉及初始化使用者設定被寫入持續存在的 ConfigMap。可讀取該命名空間 ConfigMap 的主體，例如獲授相應內建 view ClusterRole 權限者，可能取得帳戶密碼。預設啟動管理員具有 admin 角色及非臨時密碼；在預設 BaSyx ABAC 規則下，該角色可取得此部署所有 BaSyx API 的完整權限。
3.12.2 將初始化使用者資料移至 Keycloak credentials Secret。上游修正 PR #106 於 2026 年 9 月 15 日合併，同日已釋出 3.12.2；這些日期早於 11 月 5 日的漏洞公開，不能把它寫成當日才推出修補。
CNA 記錄的公開時間為 2026 年 11 月 5 日 11:26 UTC，CVE 記錄發布時間則為同日 12:11:12 UTC，兩者均為香港時間 11 月 5 日。這些是披露及記錄發布時間，並非入侵或發現日期。
受影響產品
Eclipse BaSyx 的 basyx Helm chart 3.0.0-rc.1 至 3.12.1，且設定 keycloak.enabled=true；修正版本為 3.12.2。
適用讀者
以 Kubernetes 及 basyx Helm chart 部署 BaSyx、並啟用 chart 內建 Keycloak 的平台及身份管理人員。
建議行動
核對 basyx chart 版本及是否啟用內建 Keycloak。受影響部署應升級至 3.12.2 或已包含修正的後續版本，並更改由 chart 建立的使用者密碼，包括啟動管理員；不要把升級視為已消除過往密碼外洩風險。另建議檢查相關命名空間的 ConfigMap 及 Secret 存取權限，按最小權限原則調整，並依組織流程評估是否曾有未授權存取。
風險評級依據
Eclipse CNA 的 CVE 記錄評為 CVSS 3.1 7.5（High）；向量為 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H，並非無需權限即可任意讀取的漏洞。
解讀限制
只有使用 chart 內建 Keycloak 的部署符合官方所述配置條件；該選項預設關閉，不能推定所有 BaSyx 或 Keycloak 部署受影響。
利用情境需要相關 ConfigMap 的讀取權限；所核對來源未確認野外利用，亦未確認香港受影響個案或部署數量。
CVE 所列 GitHub Security Advisory 連結在本次核對回傳 404；本文依據 Eclipse CNA 原始 CVE 記錄及可讀取的上游修正與版本發布資料，不把未讀到的公告視為已驗證。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。