CVE-2020-11013 in Helm
Zusammenfassung
von VulDB • 23.06.2026
Es gibt eine Schwachstelle zur Offenlegung von Informationen (Information Disclosure) in Helm ab Version 3.1.0 und vor Version 3.2.0. `lookup` ist eine Vorlagenfunktion für Helm, die mit Helm v3 eingeführt wurde. Sie kann Ressourcen im Cluster nachschauen, um das Vorhandensein bestimmter Ressourcen zu überprüfen und Details dazu abzurufen. Dies kann Teil des Prozesses zum Rendern von Vorlagen sein. Das dokumentierte Verhalten von `helm template` besagt, dass es keine Verbindung zu einem Remote-Cluster herstellt. Die kürzlich hinzugefügte Template-Funktion `lookup` umgeht diese Einschränkung jedoch und stellt selbst während der Ausführung von `helm template` sowie bei `helm install|update|delete|rollback --dry-run` eine Verbindung zum Cluster her. Der Benutzer wird nicht über dieses Verhalten informiert. Das Ausführen von `helm template` sollte keine Aufrufe an einen Cluster durchführen. Dies unterscheidet sich von `install`, wovon ausgegangen wird, dass es Zugriff auf einen Cluster hat, um Ressourcen in Kubernetes zu laden. Helm 2 ist von dieser Schwachstelle nicht betroffen. Ein bösartiger Chart-Autor könnte eine `lookup`-Anweisung in einen Chart einfügen, die beim Rendern durch `helm template` unangekündigte Nachschlagevorgänge gegen den Cluster ausführt, auf den die Datei `KUBECONFIG` des Benutzers verweist. Diese Informationen können dann über die Ausgabe von `helm template` offengelegt werden. Dieses Problem wurde in Helm 3.2.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.