CVE-2026-35205
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Helm w wersjach od 4.0.0 do 4.1.3 instaluje wtyczki bez pliku pochodzenia (.prov), nawet gdy wymagana jest weryfikacja podpisu. Luka została naprawiona w wersji 4.1.4.
Ocena ryzyka
Organizacja może zainstalować nieautoryzowane lub złośliwe wtyczki, co prowadzi do naruszenia integralności klastra Kubernetes i potencjalnego przejęcia kontroli nad zasobami.
Rekomendacja
Należy natychmiast zaktualizować Helm do wersji 4.1.4 lub nowszej oraz zweryfikować wszystkie zainstalowane wtyczki pod kątem zgodności z wymaganiami bezpieczeństwa.
Inne podatności w Helm
Zobacz wszystkie- CVE-2026-66016Średnie
W określonych samodzielnie hostowanych konfiguracjach Helm, wygenerowane prywatne klucze TLS mogą być przechowywane w renderowanych manifestach, dostępnych dla wysoce uprzywilejowanych lokalnych użytkowników.
- CVE-2026-63308Średnie
Podatność w Helm do wersji 4.2.3 (załatana w commicie ba6c9a2) powoduje błąd paniki z powodu indeksu poza zakresem w funkcji pomocniczej Files.Lines w pliku pkg/engine/files.go. Atakujący może umieścić puste pliki w chartach Helm, co prowadzi do deterministycznych błędów renderowania podczas operacji szablonowania, instalacji, aktualizacji, lintowania oraz przez SDK Engine.Render.
- CVE-2026-35204Wysokie
Podatność w Helm od wersji 4.0.0 do 4.1.3 pozwala na zapis plików wtyczki w dowolnej lokalizacji systemu plików poprzez spreparowane pole 'version' w pliku plugin.yaml zawierające sekwencję '/../' (dot-dot).
Oryginalny opis (angielski, źródło NVD)
Helm is a package manager for Charts for Kubernetes. From 4.0.0 to 4.1.3, Helm will install plugins missing provenance (.prov file) when signature verification is required. This vulnerability is fixed in 4.1.4.