Falha não corrigida de exfiltração de segredos entre namespaces no k8s-config-connector

O aviso, publicado em 12/10/2026 no feed oss-sec como tradução automática, descreve uma falha de exfiltração de segredos entre namespaces no projeto GoogleCloudPlatform/k8s-config-connector. O autor informa que reportou o problema ao Google Cloud VRP em 17/06/2026 e que o prazo de divulgação de 90 dias, encerrado em 09/10/2026, passou sem resposta substantiva, havendo apenas confirmações automáticas de recebimento. Ele afirma ter confirmado de forma independente que o problema continua presente no branch master em 11/10/2026. Foi solicitado um ID CVE à CNA-LR da MITRE. O trecho disponível não detalha o mecanismo técnico, as versões afetadas nem uma correção. Por que importa: equipes que usam o projeto para gerenciar recursos de nuvem por meio do Kubernetes podem ter segredos acessíveis a outros namespaces. Como medidas gerais, vale revisar permissões RBAC por namespace, limitar quem pode ler segredos, acompanhar o aviso e a CVE oficial e avaliar a rotação de credenciais caso haja suspeita de exposição. A Rota Nacional não corrige, audita nem monitora configurações de clusters Kubernetes. Se o leitor usar IA para estudar este aviso, deve remover antes do envio nomes de clusters, tokens, senhas, chaves e manifestos com valores de segredos. Verifique o conteúdo no original, indicado no próprio feed oss-sec, e não confie apenas na tradução automática.