CVE-2020-11013 in Helm
Сводка
по VulDB • 23.06.2026
В компонентах Helm версий от 3.1.0 до (не включительно) 3.2.0 обнаружена уязвимость раскрытия информации (`information disclosure`). Функция шаблонов `lookup`, введенная в Helm v3, позволяет выполнять поиск ресурсов в кластере для проверки наличия конкретных ресурсов и получения сведений о них. Эта функция может использоваться на этапе рендеринга шаблонов.
Согласно документированному поведению команды `helm template`, она не подключается к удаленному кластеру. Однако недавно добавленная функция шаблона `lookup` обходит это ограничение, устанавливая соединение с кластером даже во время выполнения команд `helm template` и `helm install|update|delete|rollback --dry-run`. Пользователь не уведомляется о таком поведении. Команда `helm template` не должна выполнять запросы к кластеру. Это отличается от команды `install`, которая, как предполагается, имеет доступ к кластеру для загрузки ресурсов в Kubernetes. Helm 2 не подвержен данной уязвимости.
Злоумышленник, являющийся автором диаграммы (chart), может внедрить вызов функции `lookup` в chart, который при рендеринге через `helm template` будет выполнять скрытые запросы к кластеру, на который указывает файл конфигурации пользователя `KUBECONFIG`. Данная информация затем может быть раскрыта посредством вывода команды `helm template`. Проблема исправлена в Helm 3.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.