CVE-2020-11013 in Helm
Resumen
por VulDB • 2026-06-21
Existe una vulnerabilidad de divulgación de información en Helm desde la versión 3.1.0 hasta antes de la versión 3.2.0. `lookup` es una función de plantilla de Helm introducida en Helm v3. Permite buscar recursos en el clúster para verificar la existencia de recursos específicos y obtener detalles sobre ellos. Esto puede utilizarse como parte del proceso de renderizado de plantillas. El comportamiento documentado de `helm template` indica que no se conecta a un clúster remoto. Sin embargo, la función de plantilla `lookup`, añadida recientemente, elude esta restricción y se conecta al clúster incluso durante `helm template` y `helm install|update|delete|rollback --dry-run`. El usuario no recibe notificación de este comportamiento. Ejecutar `helm template` no debería realizar llamadas a un clúster. Esto es diferente de `install`, que se presume que tiene acceso a un clúster para cargar recursos en Kubernetes. Helm 2 no se ve afectado por esta vulnerabilidad. Un autor de gráficos malicioso podría inyectar una llamada a `lookup` en un gráfico que, al renderizarse mediante `helm template`, realice búsquedas no anunciadas contra el clúster al que apunta el archivo `KUBECONFIG` del usuario. Esta información puede entonces divulgarse a través de la salida de `helm template`. Este problema se ha corregido en Helm 3.2.0
If you want to get best quality of vulnerability data, you may have to visit VulDB.