Helm にはプラグインメタデータバージョンにパストラバーサルが存在し、Helm プラグインディレクトリ外に任意のファイルを書き込める

この脆弱性は、攻撃者がHelmプラグインを悪用することで、ファイルシステム上の任意の場所にデータを書き込める可能性があります。これにより、ユーザーファイルやシステムファイルを上書きし、システムの整合性を損なうリスクがあります。攻撃者は、Helmプラグインのインストールまたは更新プロセスを悪用し、悪意のあるコードをシステムに注入する可能性があります。この脆弱性の影響範囲は、Helmを使用しているすべてのKubernetes環境に及ぶ可能性があります。

Organizations heavily reliant on Helm for managing Kubernetes deployments are at risk. This includes DevOps teams, platform engineers, and anyone responsible for maintaining Kubernetes clusters. Users who have installed plugins from untrusted sources are particularly vulnerable. Shared hosting environments where multiple users share a single Helm installation are also at increased risk.

• linux / server: Monitor Helm plugin directories (e.g., /var/lib/helm/plugins) for unexpected files or modifications. Use ls -l and find commands to identify anomalies.

find /var/lib/helm/plugins -type f -mmin -60 -print

• go: Inspect Helm plugin code for suspicious file path manipulation. Look for functions like os.MkdirAll or os.Create used with user-controlled input. • generic web: Examine Helm logs for errors related to file writing or permission denied errors.

journalctl -u helm -f

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-10
3. 更新日2026-04-13
4. EPSS 更新日2026-04-17

この脆弱性への対応策として、Helmをバージョン4.1.4以上にアップデートすることを推奨します。アップデートできない場合は、Helmプラグインのインストール元を信頼できるソースに限定し、不審なプラグインのインストールを避けるようにしてください。また、WAFやIPSなどのセキュリティ対策を導入し、悪意のあるプラグインのインストールを検知・防御することも有効です。ファイルシステムのアクセス権限を適切に設定し、Helmが書き込める場所を制限することも、被害を軽減するのに役立ちます。