PT-2024-2571 · Helm+2 · Helm+2
Jake-Ciolek
·
Publicado
2024-02-21
·
Atualizado
2025-11-28
·
CVE-2024-26147
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Helm anteriores à 3.14.2
Descrição
O problema está relacionado a uma vulnerabilidade de variável não inicializada quando o Helm analisa arquivos YAML de índice e de plug-ins que não contêm o conteúdo esperado. Isso pode causar um erro grave no Helm quando um arquivo
index.yaml ou o arquivo plugin.yaml de um plug-in não contém nenhum metadado. A vulnerabilidade é encontrada no Helm SDK ao usar as funções LoadIndexFile ou DownloadIndexFile no pacote repo ou a função LoadDir no pacote plugin. Para o cliente Helm, isso afeta funções relacionadas à adição de um repositório e todas as funções do Helm caso um plugin malicioso seja adicionado.Recomendações
Se estiver usando versões do Helm anteriores à 3.14.2, atualize para o Helm v3.14.2 para resolver o problema.
Se um plugin malicioso tiver sido adicionado e estiver causando pânico em todos os comandos do cliente Helm, remova manualmente o plugin malicioso do sistema de arquivos.
Para versões do Helm SDK anteriores à 3.14.2, as chamadas às funções afetadas podem usar
recover para interceptar o pânico.Exploit
Correção
Use of Uninitialized Resource
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Helm
Suse