CVE-2025-5429: Cross-Namespace Spec Leakage in OpenFeature Operator FeatureFlagSource

漏洞关键信息总结 漏洞概述 标题：跨命名空间的 与 解析会在多租户集群中暴露 spec 内容 CVE ID：CVE-2025-5429 严重等级：Moderate（CVSS v3.1 评分 4.3/10） 受影响版本：< 0.9.2 已修复版本：无（None） 报告者：@xvjay 影响范围 单租户集群：不受影响 多租户集群（以命名空间作为信任边界）：存在租户间信息泄露风险。攻击者可在自己控制的命名空间中部署集群级工作负载（如 / ），从而读取其他租户的 spec 内容，包括 字面量、 、 等。 该问题源于将命名空间作为信任边界并非当前 Operator 的静态安全模型的一部分，因此属于架构层面的隐含跨命名空间解析问题。 修复方案（Mitigations） 1. 将任何 Kubernetes CRD 的 spec 内容视为可被任何对该资源有读权限的人读取，并在 CR spec 字段中避免放置敏感数据： - ：避免使用 URI 嵌入凭据（如 ） - ：路径字段是敏感的 - ：应改用 ，Kubelet 会强制同命名空间解析，secret 值不会存储在 CR 中 2. 若将命名空间视为信任边界： - 通过 RBAC 限制 的权限 路线图（Roadmap） 未来版本将引入显式的集群级 CRD（ 、 ），并移除隐式的跨命名空间解析。这是一项已排期的破坏性变更。 先例（Precedent） 此类问题在 Kubernetes 中有先例：CVE-2020-8552（External IP）已被接受为已记录的缺陷，并通过 op-in 缓解方案处理。 POC / 利用代码 页面中未包含 POC 或利用代码块，仅以文字描述攻击路径（在攻击者控制的命名空间中创建 / 以读取其他租户的 spec 内容）。

Goal Reached Thanks to every supporter — we hit 100%!

CVE-2025-5429: Cross-Namespace Spec Leakage in OpenFeature Operator FeatureFlagSource

More from this source