CVE-2023-25165

Orta

Açıklama

Helm, Kubernetes uygulamalarının kurulumunu ve yönetimini kolaylaştıran bir araçtır. `getHostByName`, Helm v3 ile tanıtılan bir Helm şablon fonksiyonudur. Fonksiyon, bir ana bilgisayar adı kabul edebilir ve bu ana bilgisayar adı için bir IP adresi döndürebilir. IP adresini almak için fonksiyon bir DNS sorgusu gerçekleştirir. DNS sorgusu, `helm install|upgrade|template` kullanıldığında veya bir chart'ı işlemek için Helm SDK kullanıldığında gerçekleşir. Chart'a aktarılan bilgiler, IP adresini sorgulamak için kullanılan DNS sunucularına ifşa edilebilir. Örneğin, kötü niyetli bir chart, değerleri kötü niyetli bir DNS sunucusuna ifşa etmek amacıyla bir chart içerisine `getHostByName` fonksiyonunu enjekte edebilir. Sorun Helm 3.11.1 sürümünde düzeltilmiştir. Bir chart'ı Helm ile kullanmadan önce, DNS sunucularına aktarmak istemediğiniz herhangi bir bilgiyi ifşa etmek için bir şablonda `getHostByName` fonksiyonunun kullanılmadığını doğrulayın.

ÖnemOrta

CVSS4.3

İstismar olasılığı—

ÜrünHelm

Yayın8 Şub 2023

İlk görülme8 Şub 2023

Zayıflık türüCWE-200Hassas bilginin açığa çıkması

Nasıl düzeltilir

Güncelleyin

helm helm3.11.1 ya da sonraki bir sürüm
helm.sh/helm/v33.11.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
helm helm	3.0.0 ≤ v < 3.11.1	3.11.1
helm.sh/helm/v3Go	3.0.0 ≤ v < 3.11.1, v < 3.11.1	3.11.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.