CVE-2020-11013 in Helm
Sumário
de VulDB • 23/06/2026
Existe uma vulnerabilidade de divulgação de informações no Helm, nas versões a partir da 3.1.0 até antes da 3.2.0. O `lookup` é uma função de modelo do Helm introduzida na versão 3. Ela permite consultar recursos no cluster para verificar a existência de recursos específicos e obter detalhes sobre eles. Isso pode ser usado como parte do processo de renderização dos modelos. O comportamento documentado do comando `helm template` afirma que ele não se conecta a um cluster remoto. No entanto, a função de modelo `lookup`, adicionada recentemente, contorna essa restrição e se conecta ao cluster mesmo durante a execução de `helm template` e `helm install|update|delete|rollback --dry-run`. O usuário não é notificado sobre esse comportamento. A execução do comando `helm template` não deve realizar chamadas a um cluster. Isso difere do comando `install`, que presume-se ter acesso ao cluster para carregar recursos no Kubernetes. O Helm 2 não é afetado por essa vulnerabilidade. Um autor de chart malicioso poderia injetar uma chamada `lookup` em um chart que, quando renderizado através do `helm template`, realizaria consultas não anunciadas contra o cluster apontado pelo arquivo `KUBECONFIG` do usuário. Essas informações podem então ser divulgadas por meio da saída gerada pelo comando `helm template`. Este problema foi corrigido no Helm 3.2.0
Once again VulDB remains the best source for vulnerability data.