CVE-2022-23526
Açıklama
Helm, önceden yapılandırılmış Kubernetes kaynakları olan Chart'ların yönetimi için kullanılan bir araçtır. 3.10.3 öncesindeki sürümler, _chartutil_ paketinde segmentasyon ihlaline neden olabilen bir NULL Pointer Dereference sorununa sahiptir. _chartutil_ paketi, bir JSON Schema doğrulama dosyasını yükleyen bir ayrıştırıcı içerir. Örneğin, Helm istemcisi bir chart'ı işlerken değerlerini şema dosyası ile doğrular. _chartutil_ paketi şema dosyasını ayrıştırır ve Go'nun çalışabileceği yapılara yükler. Bazı şema dosyaları, bellek ihlaline yol açan dizi veri yapılarının oluşturulmasına neden olabilir. Helm SDK içindeki _chartutil_ paketini bir şema dosyasını ayrıştırmak için kullanan uygulamalar, bu girdinin kurtarılamayan bir paniğe (panic) neden olması durumunda Hizmet Reddi (Denial of Service) sorunundan etkilenebilir. Helm uzun süreli çalışan bir servis olmadığından, panik durumu Helm istemcisinin gelecekteki kullanımlarını etkilemeyecektir. Bu sorun 3.10.3 sürümünde düzeltilmiştir. SDK kullanıcıları, şema dosyalarını _chartutil_ fonksiyonlarına aktarmadan önce doğru biçimlendirildiklerini doğrulayabilirler.
Nasıl düzeltilir
- helm helm3.10.3 ya da sonraki bir sürüm
- helm.sh/helm/v33.10.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| helm helm | 3.0.0 ≤ v < 3.10.3 | 3.10.3 |
| helm.sh/helm/v3Go | v < 3.10.3 | 3.10.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.