CVE-2020-15187
Açıklama
Helm 2.16.11 ve 3.3.2 versiyonlarından öncekilerde, bir Helm eklentisi aynı girdinin kopyalarını içerebilir ve her zaman sonuncusu kullanılır. Bir eklenti ele geçirilirse, bu durum bir saldırganın eklentinin yükleme kancalarını (install hooks) değiştirmek için ihtiyaç duyduğu erişim seviyesini düşürerek yerel yürütme saldırısına neden olur. Bu saldırıyı gerçekleştirmek için, saldırganın indirme sırasında git deposuna veya eklenti arşivine (.tgz) yazma erişimine sahip olması gerekir (bu durum, SSL olmayan bir bağlantı üzerinden gerçekleştirilen bir MITM saldırısı sırasında meydana gelebilir). Bu sorun Helm 2.16.11 ve Helm 3.3.2 sürümlerinde düzeltilmiştir. Olası bir geçici çözüm olarak, eklentilerin SSL gibi güvenli bir bağlantı protokolü kullanılarak yüklendiğinden emin olun.
Nasıl düzeltilir
- helm helm2.16.11, 3.3.2 ya da sonraki bir sürüm
- helm.sh/helm/v33.3.2 ya da sonraki bir sürüm
- helm.sh/helm2.16.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| helm helm | 2.0.0 ≤ v < 2.16.11, 3.0.0 ≤ v < 3.3.2 | 2.16.11, 3.3.2 |
| helm.sh/helm/v3Go | 3.0.0 ≤ v < 3.3.2 | 3.3.2 |
| helm.sh/helmGo | 2.0.0 ≤ v < 2.16.11 | 2.16.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.