CVE-2020-11013 in Helm
要約
〜によって VulDB • 2026年08月01日
Helmのバージョン3.1.0から3.2.0未満には、情報漏洩の脆弱性が存在します。`lookup`はHelm v3で導入されたテンプレート関数であり、クラスター内のリソースを検索して特定のリソースが存在するかを確認し、その詳細を取得することができます。これはテンプレートをレンダリングするプロセスの一部として使用されます。文書化されている`helm template`の動作では、リモートクラスターに接続しないとされています。しかし、最近追加された`lookup`テンプレート関数はこの制限を回避し、`helm template`および`helm install|update|delete|rollback --dry-run`の実行中であってもクラスターへの接続を行います。ユーザーはこの動作について通知されません。`helm template`を実行してもクラスターに対して呼び出しを行ってはなりません。これはKubernetesにリソースを読み込むためにクラスターへのアクセスが想定される`install`とは異なります。Helm 2は本脆弱性の影響を受けません。悪意のあるチャート作成者は、ユーザーの`KUBECONFIG`ファイルで指定されたクラスターに対して事前通知なしに検索を実行する`lookup`をチャート内に注入でき、これが`helm template`を通じてレンダリングされると、その情報が`helm template`の出力経由で漏洩します。この問題はHelm 3.2.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.