JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-012527 External Secrets Operatorはサードパーティサービスから情報を読み取り、その値を自動的にKubernetes Secretsとして注入します。バージョン2.2.0以下にはruntime/template/v2/template.goに脆弱性があり、v2テンプレートエンジンはSprigのTxtFuncMap()からenvおよびexpandenvを削除しますが、getHostByName関数をユーザーが制御できるテンプレートでアクセス可能なままにしています。ESOはコントローラープロセス内でテンプレートを実行するため、テンプレート化されたExternalSecretリソースを作成または更新できる攻撃者は、シークレット由来の値を使ってコントローラー側のDNSルックアップを呼び出すことが可能です。これによりDNS経由で秘密情報を漏洩させるDNSエクスフィルトレーションの手段が生じ、攻撃者のワークロードからの直接的なアウトバウンドネットワークアクセスを必要としません。この影響は機密性に関わる問題であり、特に信頼されていないまたは信頼度の低いユーザーがテンプレート化されたExternalSecretリソースを作成でき、かつコントローラーにDNS解決機能がある環境で顕著に現れます。この問題はバージョン2.3.0で修正されました。 cpe:/a:external-secrets:external_secrets_operator https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-012527.html Common Vulnerabilities and Exposures (CVE) CVE-2026-34984 https://www.cve.org/CVERecord?id=CVE-2026-34984 National Vulnerability Database (NVD) CVE-2026-34984 https://nvd.nist.gov/vuln/detail/CVE-2026-34984 GitHub DNS-based secret exfiltration via getHostByName in External Secrets v2 template engine Advisory external-secrets/external-secrets GitHub https://github.com/external-secrets/external-secrets/security/advisories/GHSA-r2pg-r6h7-crf3 JVNDB CWE-noinfo https://www.ipa.go.jp/security/vuln/scap/cwe.html JVNDB CWE-200 https://jvndb.jvn.jp/ja/cwe/CWE-200.html 関連文書 Release v2.3.0 external-secrets/external-secrets GitHub https://github.com/external-secrets/external-secrets/releases/tag/v2.3.0 関連文書 fix: remove getHostByName from template funcs (#6164) external-secrets/external-secrets@6800989 GitHub https://github.com/external-secrets/external-secrets/commit/6800989bdc12782ca2605d3b8bf7f2876a16551a 2026-04-24T11:44:05+09:00 2026-04-24T11:44:05+09:00