CVE-2020-11013 in Helm
Résumé
par VulDB • 23/06/2026
Il existe une vulnérabilité de divulgation d'informations dans Helm, à partir de la version 3.1.0 et avant la version 3.2.0. `lookup` est une fonction de modèle Helm introduite avec Helm v3. Elle permet d'interroger les ressources du cluster pour vérifier l'existence de ressources spécifiques et en obtenir des détails. Cela peut être utilisé dans le processus de rendu des modèles. Le comportement documenté de `helm template` indique qu'il ne se connecte pas à un cluster distant. Cependant, la fonction de modèle `lookup`, récemment ajoutée, contourne cette restriction et se connecte au cluster même lors de l'exécution de `helm template` ainsi que de `helm install|update|delete|rollback --dry-run`. L'utilisateur n'est pas averti de ce comportement. L'exécution de `helm template` ne devrait pas effectuer d'appels vers un cluster. Cela diffère de `install`, qui est supposé avoir accès à un cluster afin de charger des ressources dans Kubernetes. Helm 2 n'est pas affecté par cette vulnérabilité. Un auteur de chart malveillant pourrait injecter une fonction `lookup` dans un chart qui, lors du rendu via `helm template`, effectue des requêtes non annoncées contre le cluster pointé par le fichier `KUBECONFIG` de l'utilisateur. Ces informations peuvent ensuite être divulguées via la sortie de `helm template`. Ce problème a été corrigé dans Helm 3.2.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.