V
Сканер-ВС
ENRU
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
← Вернуться к списку
Debian›Дистрибутивdebian

Helm-kubernetes

Уязвимости
27
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.01745

Распределение по критичности

Критический
2
Высокий
7
Средний
15
Низкий
3
Также сопоставлено как (исходные строки): helm-kubernetes

Топ уязвимостей

CVE-2019-18658В Helm 2.x до версии 2.15.2 команды, которые занимаются загрузкой диаграммы в виде каталога или упаковкой диаграммы, предоставляют возможность злонамеренно разработанной диаграмме включать конфиденциальное содержимое, такое как /etc/passwd, или выполнять отказ в обслуживании (DoS) через специальный файл, такой как /dev/urandom, через символические ссылки. Ни одна версия Tiller не подвержена воздействию. Это проблема только на стороне клиента.
CVE-2019-1010275helm до версии 2.7.2 подвержен уязвимости: CWE-295: Неправильная проверка сертификата. Воздействие: неавторизованные клиенты могли подключаться к серверу, поскольку разрешались самоподписанные клиентские сертификаты. Компонент: helm (обновлено множество файлов, см. https://github.com/helm/helm/pull/3152/files/1096813bf9a425e2aa4ac755b6c991b626dfab50). Вектор атаки: вредоносный клиент может подключиться к серверу по сети. Исправленная версия: 2.7.2.
CVE-2025-53547Helm, менеджер пакетов для Kubernetes, содержит уязвимость, позволяющую выполнить локальный код при обновлении зависимостей. Специально созданный файл Chart.yaml вместе с символической ссылкой на Chart.lock может привести к выполнению вредоносного кода [1]. Рекомендуется обновить Helm до версии 3.18.4 или новее и убедиться, что файл Chart.lock не является символической ссылкой. Источники: - [1] https://github.com/helm/helm/security/advisories/GHSA-557j-xg8c-q2mm - [2] https://github.com/helm/helm/commit/4b8e61093d8f579f1165cdc6bd4b43fa5455f571
CVE-2026-35205Получение конфиденциальной информации в РЕД ОС
CVE-2026-35204Получение конфиденциальной информации в РЕД ОС
CVE-2024-26147Helm — это диспетчер пакетов для Charts для Kubernetes. Версии до 3.14.2 содержат уязвимость неинициализированной переменной, когда Helm анализирует индекс и файлы yaml плагинов, в которых отсутствует ожидаемое содержимое. Если в файле `index.yaml` или файле `plugin.yaml` плагинов отсутствовали все метаданные, в Helm возникала паника. В Helm SDK это обнаруживается при использовании функций `LoadIndexFile` или `DownloadIndexFile` в пакете `repo` или функции `LoadDir` в пакете `plugin`. Для клиента Helm это влияет на функции, связанные с добавлением репозитория, и все функции Helm, если вредоносный плагин добавляется, поскольку Helm проверяет все известные плагины при каждом вызове. Эта проблема решена в Helm v3.14.2. Если был добавлен вредоносный плагин, который вызывает панику всех команд клиента Helm, вредоносный плагин можно удалить вручную из файловой системы. При использовании версий Helm SDK до 3.14.2 вызовы затронутых функций могут использовать `recover` для перехвата паники.
CVE-2022-23526Helm - это инструмент для управления чартами, предварительно сконфигурированными ресурсами Kubernetes. Версии до 3.10.3 подвержены разыменованию нулевого указателя в пакете _chartutil_, что может вызвать нарушение сегментации. Пакет _chartutil_ содержит анализатор, который загружает файл проверки схемы JSON. Например, клиент Helm при отрисовке чарта проверяет его значения с помощью файла схемы. Пакет _chartutil_ анализирует файл схемы и загружает его в структуры, с которыми может работать Go. Некоторые файлы схемы могут привести к созданию структур данных массива, вызывающих нарушение памяти. Приложения, использующие пакет _chartutil_ в Helm SDK для анализа файла схемы, могут подвергнуться атаке типа «отказ в обслуживании», когда этот ввод вызывает панику, которую невозможно восстановить. Helm не является долго работающей службой, поэтому паника не повлияет на будущее использование клиента Helm. Эта проблема была исправлена в версии 3.10.3. Пользователи SDK могут проверять, что файлы схемы правильно отформатированы, прежде чем передавать их функциям _chartutil_.
CVE-2022-23525Helm - это инструмент для управления чартами, предварительно сконфигурированными ресурсами Kubernetes. Версии до 3.10.3 подвержены разыменованию нулевого указателя в _repo_package. Пакет _repo_ содержит обработчик, который обрабатывает индексный файл репозитория. Например, клиент Helm добавляет ссылки на репозитории чартов, где управляются чарты. Пакет _repo_ анализирует индексный файл репозитория и загружает его в структуры, с которыми может работать Go. Некоторые индексные файлы могут привести к созданию структур данных массива, вызывающих нарушение памяти. Приложения, использующие пакет _repo_ в Helm SDK для анализа индексного файла, могут подвергнуться атаке типа «отказ в обслуживании», когда этот ввод вызывает панику, которую невозможно восстановить. Клиент Helm запаникует с индексным файлом, который вызывает панику нарушения памяти. Helm не является долго работающей службой, поэтому паника не повлияет на будущее использование клиента Helm. Эта проблема была исправлена в версии 3.10.3. Пользователи SDK могут проверять, что индексные файлы правильно отформатированы, прежде чем передавать их функциям _repo_.
CVE-2022-23524Helm - это инструмент для управления чартами, предварительно сконфигурированными ресурсами Kubernetes. Версии до 3.10.3 подвержены неконтролируемому потреблению ресурсов, что приводит к отказу в обслуживании. Ввод в функции в пакете _strvals_ может вызвать переполнение стека. В Go переполнение стека невозможно восстановить. Приложения, использующие функции из пакета _strvals_ в Helm SDK, могут подвергнуться атаке типа «отказ в обслуживании», если они используют этот пакет и он вызывает панику. Эта проблема была исправлена в версии 3.10.3. Пользователи SDK могут проверять, что строки, предоставляемые пользователями, не создают большие массивы, вызывающие значительное использование памяти, прежде чем передавать их функциям _strvals_.
CVE-2021-32690Helm - это инструмент для управления Charts (пакетами предварительно настроенных ресурсов Kubernetes). В версиях helm до 3.6.1 существует уязвимость, при которой имя пользователя и пароль, связанные с репозиторием Helm, могут быть переданы другому домену, на который ссылается этот репозиторий Helm. Эта проблема была решена в версии 3.6.1. Существует обходной путь, с помощью которого можно проверить неправильно переданные учетные данные. Можно использовать имя пользователя и пароль для репозитория Helm и проверить репозиторий Helm, чтобы проверить, используется ли другой домен, который мог получить учетные данные. В файле `index.yaml` для этого репозитория можно найти другой домен в списке `urls` для версий chart. Если найден другой домен и эта версия chart была извлечена или установлена, учетные данные будут переданы.
CVE-2021-21303Helm — это программное обеспечение с открытым исходным кодом, которое по сути является «Менеджером пакетов Kubernetes». Helm — это инструмент для управления диаграммами. Диаграммы — это пакеты предварительно настроенных ресурсов Kubernetes. В Helm начиная с версии 3.0 и до версии 3.5.2 есть несколько случаев, когда данные, загруженные из потенциально ненадежных источников, не были должным образом очищены. Когда SemVer в поле `version` диаграммы недействителен, в некоторых случаях Helm позволяет использовать строку «как есть» без очистки. Helm не может должным образом очистить некоторые поля, присутствующие в файлах `index.yaml` репозитория Helm. Helm не может должным образом очистить некоторые поля в файле `plugin.yaml` для плагинов. В некоторых случаях Helm не может должным образом очистить поля в файле `Chart.yaml`. Используя эти векторы атак, основные сопровождающие смогли отправить обманчивую информацию на экран терминала, выполняющего команду `helm`, а также скрыть или изменить информацию на экране. В некоторых случаях мы могли отправлять коды, которые терминалы использовали для выполнения логики более высокого порядка, например, для очистки экрана терминала. Кроме того, во время оценки сопровождающие Helm обнаружили несколько других полей, которые не были должным образом очищены при чтении из индексных файлов репозитория. Это исправление устраняет все такие случаи и еще раз обеспечивает соблюдение политик SemVer2 для полей версий. Всем пользователям Helm 3 следует перейти на исправленную версию 3.5.2 или более позднюю. Те, кто использует Helm в качестве библиотеки, должны убедиться, что они либо очищают эти данные самостоятельно, либо используют соответствующие вызовы API Helm для очистки данных.
CVE-2025-55199Helm является менеджером пакетов для чартов для Kubernetes. До версии 3.18.5 можно создать файл JSON Schema таким образом, чтобы Helm мог использовать всю доступную память и иметь терминацию вне памяти (OOM). Этот вопрос решен в Helm 3.18.5. Обходной путь включает в себя обеспечение того, чтобы все диаграммы Helm, которые загружаются в Helm, не имели какой-либо ссылки на $ref, указывающих на /dev/zero.
CVE-2025-55198Helm является менеджером пакетов для чартов для Kubernetes. До версии 3.18.5 при разборе файлов Chart.yaml и index.yaml неправильная проверка ошибки типа может привести к панике. Этот вопрос решен в Helm 3.18.5. Обход включает в себя обеспечение форматирования файлов YAML, как ожидает Хелм, прежде чем обрабатывать их с помощью Helm.
CVE-2025-32387Helm - это менеджер пакетов для Charts для Kubernetes. Файл схемы JSON внутри чарта может быть создан с глубоко вложенной цепочкой ссылок, что приводит к рекурсии парсера, которая может превысить предел размера стека и вызвать переполнение стека. Эта проблема была решена в Helm v3.17.3 [1]. Уязвимость позволяет злоумышленнику создать файл JSON Schema с большим количеством вложенных ссылок, что может привести к отказу в обслуживании. Для предотвращения этой проблемы рекомендуется убедиться, что файлы JSON Schema внутри чартов, загружаемых Helm, не содержат большого количества вложенных ссылок. Размер этих файлов не должен превышать 10 МБ. Дополнительную информацию можно найти в документе SECURITY проекта Helm. Источники: - [1] https://github.com/helm/helm/security/advisories/GHSA-5xqw-8hwv-wg92 - [2] https://github.com/helm/helm/commit/d8ca55fc669645c10c0681d49723f4bb8c0b1ce7
CVE-2025-32386Helm - это инструмент для управления чартами. Файл архива чарта может быть сформирован таким образом, что при распаковке он занимает значительно больше места, чем в сжатом виде (например, более чем в 800 раз). Когда Helm загружает такой специально созданный чарт, память может быть исчерпана, что приводит к завершению работы приложения. Эта проблема была решена в Helm v3.17.3 [1]. Источники: - [1] https://github.com/helm/helm/security/advisories/GHSA-4hfp-h4cw-hj8p
CVE-2022-36055Helm — это инструмент для управления графиками. Графики — это пакеты предварительно настроенных ресурсов Kubernetes. Fuzz-тестирование, предоставленное CNCF, выявило ввод в функции в пакете _strvals_, который может вызвать панику из-за нехватки памяти. Пакет _strvals_ содержит анализатор, который преобразует строки в структуры Go. Пакет _strvals_ преобразует эти строки в структуры, с которыми может работать Go. Некоторые строковые входные данные могут привести к созданию структур данных массива, что приведет к панике из-за нехватки памяти. Приложения, использующие пакет _strvals_ в Helm SDK для анализа входных данных, предоставленных пользователем, могут страдать от отказа в обслуживании, когда этот ввод вызывает панику, от которой невозможно оправиться. Клиент Helm запаникует с вводом в `--set`, `--set-string` и другие флаги установки значений, что приведет к панике из-за нехватки памяти. Helm не является долго работающей службой, поэтому паника не повлияет на будущее использование клиента Helm. Эта проблема была решена в версии 3.9.4. Пользователи SDK могут проверять строки, предоставленные пользователями, чтобы убедиться, что они не создают большие массивы, вызывающие значительное использование памяти, прежде чем передавать их функциям _strvals_.
CVE-2019-25210В Cloud Native Computing Foundation (CNCF) Helm до версии 3.13.3 обнаружена проблема. Он отображает значения секретов при использовании флага --dry-run. Это вызывает опасения по поводу безопасности в некоторых случаях использования, например, при вызове --dry-run инструментом CI/CD. ПРИМЕЧАНИЕ: позиция поставщика заключается в том, что такое поведение было введено намеренно и не может быть удалено без нарушения обратной совместимости (некоторые пользователи могут полагаться на эти значения). Кроме того, проект Helm не несет ответственности, если пользователь решит использовать --dry-run в среде CI/CD, выходные данные которой видны неавторизованным лицам.
CVE-2019-1000008Все версии Helm между Helm >=2.0.0 и < 2.12.2 содержат CWE-22: Неправильное ограничение имени пути к ограниченному каталогу (обход пути) уязвимость в командах `helm fetch --untar` и `helm lint some.tgz`, что может привести к тому, что при распаковке файлов архива диаграммы файл может быть распакован за пределами целевого каталога. Эта атака, по-видимому, может быть использована, если жертва выполнит команду helm для специально созданного архива диаграммы. Эта уязвимость, по-видимому, была исправлена в версии 2.12.2.
CVE-2024-25620Helm — это инструмент для управления чартами. Чарты — это пакеты предварительно настроенных ресурсов Kubernetes. Когда клиент Helm или SDK используются для сохранения чарта, имя которого в файле `Chart.yaml` включает изменение относительного пути, чарт будет сохранен за пределами ожидаемого каталога на основе изменений в относительном пути. Проверка и линтинг не обнаружили изменения пути в имени. Эта проблема была решена в Helm v3.14.1. Пользователям, которые не могут обновиться, следует проверить все чарты, используемые Helm, на наличие изменений пути в их имени, как указано в файле `Chart.yaml`. Сюда входят зависимости.
CVE-2020-4053В Helm от 3.0.0 и до 3.2.4 возможна атака обхода пути при установке плагинов Helm из архива tar по протоколу HTTP. Злонамеренный автор плагина может внедрить относительный путь в архив плагина и скопировать файл за пределы предполагаемого каталога. Это было исправлено в версии 3.2.4.
CVE-2020-11013Существует уязвимость раскрытия информации в Helm версии 3.1.0 и более ранних версий до версии 3.2.0. `lookup` — это функция шаблона Helm, представленная в Helm v3. Она может искать ресурсы в кластере, чтобы проверить наличие определенных ресурсов и получить подробную информацию о них. Это можно использовать как часть процесса для отрисовки шаблонов. В документации по `helm template` указано, что она не подключается к удаленному кластеру. Однако недавно добавленная функция шаблона `lookup` обходит это ограничение и подключается к кластеру даже во время `helm template` и `helm install|update|delete|rollback --dry-run`. Пользователь не уведомляется об этом поведении. Запуск `helm template` не должен вызывать обращений к кластеру. Это отличается от `install`, которая, как предполагается, имеет доступ к кластеру для загрузки ресурсов в Kubernetes. Helm 2 не подвержен этой уязвимости. Злонамеренный автор диаграммы может внедрить `lookup` в диаграмму, которая при отрисовке через `helm template` выполняет необъявленные поиски в кластере, на который указывает файл `KUBECONFIG` пользователя. Затем эта информация может быть раскрыта через вывод `helm template`. Эта проблема была исправлена в Helm 3.2.0.
CVE-2026-35206Helm является менеджером пакетов для чартов Kubernetes. В версиях Helm <=3.20.1 и <=4.1.3 специально созданный График заставит тянуть штурвал-притяжение [разъяснить диаграмму [адрес диаграммы | repo/chartname] записать содержимое диаграммы в каталог немедленного вывода (по умолчанию в текущем рабочем каталоге; или, как и в случае с -detinardir флагами), а не ожидаемым выходным каталогом. Эта уязвимость исправлена в 3.20.2 и 4.1.4.
CVE-2020-15187В Helm до версий 2.16.11 и 3.3.2 плагин Helm может содержать дубликаты одной и той же записи, причем последняя всегда используется. Если плагин скомпрометирован, это снижает уровень доступа, необходимый злоумышленнику для изменения хуков установки плагина, что приводит к атаке локального выполнения. Для выполнения этой атаки злоумышленник должен иметь доступ на запись к репозиторию git или архиву плагина (.tgz) во время его загрузки (что может произойти во время атаки MITM на соединение без SSL). Эта проблема была исправлена в Helm 2.16.11 и Helm 3.3.2 [1]. Источники: - [1] https://github.com/helm/helm/security/advisories/GHSA-c52f-pq47-2r9j - [2] https://github.com/helm/helm/commit/6aab63765f99050b115f0aec3d6350c85e8da946 - [3] https://github.com/helm/helm/commit/ac7c07c37d87e09797f714fb57aa5e9cb99d9450 - [4] https://github.com/helm/helm/commit/b0296c0522e837d65f944beefa3fb64fd08ac304 - [5] https://github.com/helm/helm/commit/c8d6b01d72c9604e43ee70d0d78fadd54c2d8499
CVE-2023-25165Helm — это инструмент, который упрощает установку приложений Kubernetes и управление ими. `getHostByName` — это функция шаблона Helm, представленная в Helm v3. Эта функция может принимать имя хоста и возвращать IP-адрес для этого имени хоста. Чтобы получить IP-адрес, функция выполняет поиск DNS. Поиск DNS происходит при использовании с `helm install|upgrade|template` или когда SDK Helm используется для визуализации диаграммы. Информация, передаваемая в диаграмму, может быть раскрыта DNS-серверам, используемым для поиска IP-адреса. Например, вредоносная диаграмма может внедрить `getHostByName` в диаграмму, чтобы раскрыть значения вредоносному DNS-серверу. Проблема была исправлена в Helm 3.11.1. Перед использованием диаграммы с Helm убедитесь, что функция `getHostByName` не используется в шаблоне для раскрытия какой-либо информации, которую вы не хотите передавать DNS-серверам.
CVE-2020-15186В Helm версий ниже 2.16.11 и 3.3.2 имена плагинов обрабатываются не должным образом. В результате злонамеренный автор плагина может использовать символы в имени плагина, которые приведут к неожиданному поведению, например, к дублированию имени другого плагина или к подделке вывода в `helm --help`. Эта проблема была исправлена в Helm 3.3.2. Возможным обходным путем является отказ от установки ненадежных плагинов Helm. Изучите поле `name` в файле `plugin.yaml` плагина, обращая внимание на символы, выходящие за пределы диапазона [a-zA-Z0-9._-].
Перейти к вендору →Открыть в каталоге с фильтром по продукту →