CVE-2026-63308
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w Helm do wersji 4.2.3 (załatana w commicie ba6c9a2) powoduje błąd paniki z powodu indeksu poza zakresem w funkcji pomocniczej Files.Lines w pliku pkg/engine/files.go. Atakujący może umieścić puste pliki w chartach Helm, co prowadzi do deterministycznych błędów renderowania podczas operacji szablonowania, instalacji, aktualizacji, lintowania oraz przez SDK Engine.Render.
Ocena ryzyka
Organizacja narażona jest na ataki typu odmowa usługi (DoS) poprzez dostarczenie złośliwych chartów Helm zawierających puste pliki. Może to zakłócić działanie pipeline'ów CI/CD oraz procesów wdrażania aplikacji.
Rekomendacja
Należy natychmiast zaktualizować Helm do wersji zawierającej commit ba6c9a2 lub nowszej. Przed aktualizacją zaleca się weryfikację wszystkich używanych chartów Helm pod kątem obecności pustych plików.
Inne podatności w Helm
Zobacz wszystkie- CVE-2026-66016Średnie
W określonych samodzielnie hostowanych konfiguracjach Helm, wygenerowane prywatne klucze TLS mogą być przechowywane w renderowanych manifestach, dostępnych dla wysoce uprzywilejowanych lokalnych użytkowników.
- CVE-2026-35205Wysokie
Helm w wersjach od 4.0.0 do 4.1.3 instaluje wtyczki bez pliku pochodzenia (.prov), nawet gdy wymagana jest weryfikacja podpisu. Luka została naprawiona w wersji 4.1.4.
- CVE-2026-35204Wysokie
Podatność w Helm od wersji 4.0.0 do 4.1.3 pozwala na zapis plików wtyczki w dowolnej lokalizacji systemu plików poprzez spreparowane pole 'version' w pliku plugin.yaml zawierające sekwencję '/../' (dot-dot).
Oryginalny opis (angielski, źródło NVD)
Helm through 4.2.3, fixed in commit ba6c9a2, contains a denial of service vulnerability in the Files.Lines template helper in pkg/engine/files.go that allows attackers to trigger an index out of range panic by including zero-length byte slices in chart files. Attackers can include empty files in Helm charts to cause deterministic render failures across template, install, upgrade, lint, and SDK Engine.Render operations.