CVE-2026-35205
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Helm w wersjach od 4.0.0 do 4.1.3 instaluje wtyczki bez pliku pochodzenia (.prov), nawet gdy wymagana jest weryfikacja podpisu. Luka została naprawiona w wersji 4.1.4.
Ocena ryzyka
Organizacja może zainstalować nieautoryzowane lub złośliwe wtyczki, co prowadzi do naruszenia integralności klastra Kubernetes i potencjalnego przejęcia kontroli nad zasobami.
Rekomendacja
Należy natychmiast zaktualizować Helm do wersji 4.1.4 lub nowszej oraz zweryfikować wszystkie zainstalowane wtyczki pod kątem zgodności z wymaganiami bezpieczeństwa.
Inne podatności w Helm
Zobacz wszystkie- CVE-2026-66016Średnie
W określonych samodzielnie hostowanych konfiguracjach Helm, wygenerowane prywatne klucze TLS mogą być przechowywane w renderowanych manifestach, dostępnych dla wysoce uprzywilejowanych lokalnych użytkowników.
- CVE-2026-63308Średnie
Podatność w Helm do wersji 4.2.3 (załatana w commicie ba6c9a2) powoduje błąd paniki z powodu indeksu poza zakresem w funkcji pomocniczej Files.Lines w pliku pkg/engine/files.go. Atakujący może umieścić puste pliki w chartach Helm, co prowadzi do deterministycznych błędów renderowania podczas operacji szablonowania, instalacji, aktualizacji, lintowania oraz przez SDK Engine.Render.
- CVE-2026-35204Wysokie
Podatność w Helm od wersji 4.0.0 do 4.1.3 pozwala na zapis plików wtyczki w dowolnej lokalizacji systemu plików poprzez spreparowane pole 'version' w pliku plugin.yaml zawierające sekwencję '/../' (dot-dot).
Oryginalny opis (angielski, źródło NVD)
Helm is a package manager for Charts for Kubernetes. From 4.0.0 to 4.1.3, Helm will install plugins missing provenance (.prov file) when signature verification is required. This vulnerability is fixed in 4.1.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS