CVE-2020-11013

Helm'in 3.1.0 sürümünden 3.2.0 sürümü öncesine kadar olan versiyonlarında bir bilgi ifşası zafiyeti bulunmaktadır. `lookup`, Helm v3 ile tanıtılan bir Helm şablon fonksiyonudur. Belirli kaynakların varlığını kontrol etmek ve onlar hakkında ayrıntılar almak için kümedeki kaynakları arayabilmektedir. Bu, şablonları oluşturma sürecinin bir parçası olarak kullanılabilir. `helm template` komutunun belgelenmiş davranışı, uzak bir kümeye bağlanmadığını belirtir. Ancak, yakın zamanda eklenen `lookup` şablon fonksiyonu bu kısıtlamayı devre dışı bırakır ve `helm template` ile `helm install|update|delete|rollback --dry-run` işlemleri sırasında bile kümeye bağlanır. Kullanıcı bu davranış hakkında bilgilendirilmez. `helm template` çalıştırılması kümede çağrılar yapmamalıdır. Bu durum, kaynakları Kubernetes'e yüklemek için bir kümeye erişimi olduğu varsayılan `install` işleminden farklıdır. Helm 2 bu zafiyetten etkilenmemektedir. Kötü niyetli bir chart yazarı, `helm template` aracılığıyla işlendiğinde kullanıcının `KUBECONFIG` dosyasının işaret ettiği kümeye karşı duyurulmamış aramalar gerçekleştiren bir `lookup` fonksiyonunu bir chart içerisine yerleştirebilir. Bu bilgiler daha sonra `helm template` çıktısı üzerinden ifşa edilebilir. Bu sorun Helm 3.2.0 sürümünde düzeltilmiştir.