CVE-2021-21303

Helm, temel olarak "Kubernetes Paket Yöneticisi" olan açık kaynaklı bir yazılımdır. Helm, Chart'ları yönetmek için kullanılan bir araçtır. Chart'lar, önceden yapılandırılmış Kubernetes kaynaklarının paketleridir. Helm'in 3.0 sürümünden 3.5.2 sürümü öncesine kadar olan versiyonlarında, potansiyel olarak güvenilmeyen kaynaklardan yüklenen verilerin düzgün şekilde temizlenmediği birkaç durum bulunmaktadır. Bir chart'ın `version` alanındaki SemVer geçersiz olduğunda, Helm bazı durumlarda dizginin temizlenmeden "olduğu gibi" kullanılmasına izin verir. Helm, Helm depo `index.yaml` dosyalarında bulunan bazı alanları düzgün şekilde temizleyemez. Helm, eklentiler için `plugin.yaml` dosyasındaki bazı alanları düzgün şekilde temizlemez. Bazı durumlarda Helm, `Chart.yaml` dosyasındaki alanları düzgün şekilde temizlemez. Bu saldırı vektörlerini kullanarak, çekirdek geliştiriciler `helm` komutunu çalıştıran bir terminal ekranına yanıltıcı bilgiler gönderebilmiş ve ekrandaki bilgileri gizleyebilmiş veya değiştirebilmiştir. Bazı durumlarda, terminallerin terminal ekranını temizlemek gibi üst düzey mantıkları yürütmek için kullandığı kodlar gönderilebilmiştir. Ayrıca değerlendirme sırasında, Helm geliştiricileri depo indeks dosyalarından okunurken düzgün şekilde temizlenmeyen birkaç başka alan daha keşfetmiştir. Bu düzeltme tüm bu durumları giderir ve versiyon alanlarında yeniden SemVer2 politikalarını uygular. Tüm Helm 3 kullanıcıları, düzeltilmiş 3.5.2 veya daha yeni bir sürüme yükseltme yapmalıdır. Helm'i bir kütüphane olarak kullananlar, bu verileri kendilerinin temizlediğini veya verileri temizlemek için uygun Helm API çağrılarını kullandıklarını doğrulamalıdır.