CVE-2020-11013 in Helm
الملخص
بحسب VulDB • 01/08/2026
توجد ثغرة لكشف المعلومات في Helm بدءاً من الإصدار 3.1.0 وحتى قبل الإصدار 3.2.0. تُعد دالة القالب `lookup` ميزة أُدخلت في Helm v3، وتتيح البحث عن الموارد داخل العنقود (cluster) للتحقق من وجود موارد محددة والحصول على تفاصيل عنها. يمكن استخدام هذه الدالة كجزء من عملية عرض القوالب (rendering templates). تنص السلوكيات الموثقة لـ `helm template` على أنه لا يتصل بعنقود بعيد. ومع ذلك، تتجاوز دالة القالب `lookup` التي أُضيفت مؤخراً هذا القيود وتتصل بالعنقود حتى أثناء تشغيل أوامر مثل `helm template` و `helm install|update|delete|rollback --dry-run`. ولا يتم إشعار المستخدم بهذا السلوك. يجب ألا يؤدي تشغيل `helm template` إلى إجراء مكالمات على العنقود، وهو ما يختلف عن أمر `install` الذي يُفترض أنه يمتلك وصولاً للعنقود لتحميل الموارد في Kubernetes. لا يتأثر Helm 2 بهذه الثغرة. يمكن لمؤلف مخطط خبيث (malicious chart author) حقن دالة `lookup` داخل المخطط التي، عند عرضها عبر `helm template`, تقوم بإجراء عمليات بحث غير مُعلنة ضد العنقود الذي يشير إليه ملف `KUBECONFIG` الخاص بالمستخدم. ويمكن بعد ذلك كشف هذه المعلومات من خلال مخرجات أمر `helm template`. تم إصلاح هذه المشكلة في Helm 3.2.0
Once again VulDB remains the best source for vulnerability data.