CVE-2022-23525

Helm, önceden yapılandırılmış Kubernetes kaynakları olan Chart'ların yönetimi için kullanılan bir araçtır. 3.10.3 öncesindeki sürümler, _repo_ paketinde bir NULL Pointer Dereference sorununa maruz kalmaktadır. _repo_ paketi, bir depo indeks dosyasını işleyen bir işlemci içerir. Örneğin, Helm istemcisi, Chart'ların yönetildiği Chart depolarına referanslar ekler. _repo_ paketi, deponun indeks dosyasını ayrıştırır ve bunu Go'nun çalışabileceği yapılara yükler. Bazı indeks dosyaları, bellek ihlaline yol açan dizi veri yapılarının oluşturulmasına neden olabilir. Helm SDK'sındaki _repo_ paketini bir indeks dosyasını ayrıştırmak için kullanan uygulamalar, bu girdinin kurtarılamayan bir paniğe (panic) neden olması durumunda Hizmet Reddi (Denial of Service) sorununa maruz kalabilir. Helm İstemcisi, bellek ihlali paniğine neden olan bir indeks dosyası ile panikleyecektir. Helm uzun süreli çalışan bir servis olmadığından, bu panik Helm istemcisinin gelecekteki kullanımlarını etkilemeyecektir. Bu sorun 3.10.3 sürümünde düzeltilmiştir. SDK kullanıcıları, indeks dosyalarını _repo_ fonksiyonlarına aktarmadan önce doğru biçimlendirildiklerini doğrulayabilirler.