CVE-2020-11013 in Helm
요약
\~에 의해 VulDB • 2026. 08. 01.
Helm 버전 3.1.0부터 3.2.0 미만 버전까지 정보 노출 취약점이 존재합니다. `lookup`은 Helm v3에서 도입된 Helm 템플릿 함수로, 클러스터 내의 리소스를 조회하여 특정 리소스의 존재 여부를 확인하고 해당 리소스에 대한 세부 정보를 가져올 수 있습니다. 이 기능은 템플릿 렌더링 과정의 일부로 사용될 수 있습니다. `helm template`에 관한 문서화된 동작 설명에는 원격 클러스터에 연결하지 않는다고 명시되어 있습니다. 그러나 최근에 추가된 `lookup` 템플릿 함수는 이를 우회하여, `helm template` 및 `helm install|update|delete|rollback --dry-run` 실행 중에도 클러스터에 연결합니다. 사용자는 이러한 동작에 대해 알림을 받지 못합니다. `helm template`은 클러스터 호출을 수행해서는 안 되며, 이는 리소스를 Kubernetes에 로드하기 위해 클러스터 접근 권한이 있다고 가정되는 `install` 명령어와 다릅니다. Helm 2는 이 취약점의 영향을 받지 않습니다. 악의적인 차트 작성자가 사용자 환경 변수(`KUBECONFIG`) 파일이 가리키는 클러스터에 대해 사전 통지 없이 조회를 수행하는 `lookup`을 차트에 삽입할 경우, 이는 `helm template` 렌더링 시 해당 정보를 노출시킬 수 있습니다. 이 문제는 Helm 3.2.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.