PT-2024-4076 · Helm+2 · Helm+2
Dominykas
·
Publicado
2024-02-14
·
Atualizado
2025-11-28
·
CVE-2024-25620
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Helm anteriores à 3.14.1
Descrição
O problema está relacionado ao fato de o cliente Helm ou o SDK salvar um gráfico fora do diretório esperado, com base em alterações no caminho relativo dentro do arquivo
Chart.yaml. Isso ocorre quando o nome do gráfico inclui uma alteração no caminho relativo, que não é detectada pela validação e pela verificação de conformidade. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.A vulnerabilidade permite que um invasor remoto salve um gráfico do Helm fora do diretório esperado, o que pode levar a acesso ou modificações não autorizadas.
Os detalhes técnicos sobre a exploração incluem o uso de alterações no caminho relativo no nome do gráfico dentro do arquivo
Chart.yaml, o que pode levar à traversal de caminho.Recomendações
Para versões anteriores à 3.14.1, atualize para o Helm v3.14.1 para resolver o problema.
Como solução alternativa temporária, verifique todos os charts usados pelo Helm quanto a alterações de caminho em seus nomes, conforme encontrado no arquivo
Chart.yaml, incluindo dependências.Exploit
Correção
Path traversal
Relative Path Traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Helm
Suse