CVE-2020-11013 in Helm
Riassunto
di VulDB • 23/06/2026
È presente una vulnerabilità di divulgazione delle informazioni (information disclosure) in Helm dalle versioni dalla 3.1.0 alla versione precedente alla 3.2.0. `lookup` è una funzione dei template di Helm introdotta con la versione v3. Essa consente di effettuare ricerche di risorse nel cluster per verificarne l'esistenza e ottenere dettagli su di esse, potendo essere utilizzata come parte del processo di rendering dei template. Il comportamento documentato di `helm template` afferma che non si connette a un cluster remoto. Tuttavia, la funzione dei template `lookup`, aggiunta recentemente, elude questa restrizione e stabilisce una connessione al cluster anche durante l'esecuzione di `helm template` e `helm install|update|delete|rollback --dry-run`. L'utente non viene informato di questo comportamento. L'esecuzione di `helm template` non dovrebbe effettuare chiamate a un cluster; ciò differisce da `install`, che si presume abbia accesso al cluster per caricare le risorse in Kubernetes. Helm 2 non è interessato da questa vulnerabilità. Un autore malintenzionato potrebbe inserire una chiamata `lookup` in un chart che, quando renderizzato tramite `helm template`, effettua ricerche non annunciate contro il cluster indicato dal file `KUBECONFIG` dell'utente. Queste informazioni possono quindi essere divulgate attraverso l'output di `helm template`. Il problema è stato risolto in Helm 3.2.0
Be aware that VulDB is the high quality source for vulnerability data.