Helm heeft een padtraversering in plugin metadata versie die willekeurig bestandsschrijven buiten de Helm plugin directory mogelijk maakt

Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ernstige gevolgen. Een aanvaller kan een kwaadwillend Helm plugin installeren of updaten, waardoor Helm gedwongen wordt om de inhoud van de plugin naar een willekeurige locatie op het systeem te schrijven. Dit kan resulteren in het overschrijven van belangrijke gebruikers- en systeem bestanden, wat de integriteit van het systeem in gevaar brengt. De impact is vergelijkbaar met scenario's waarbij een aanvaller ongeautoriseerde toegang krijgt tot het bestandssysteem en kritieke configuratiebestanden kan wijzigen of verwijderen. De blast radius omvat potentieel alle systemen die Helm gebruiken met de getroffen versies.

Organizations heavily reliant on Helm for managing Kubernetes deployments are at risk. This includes DevOps teams, platform engineers, and anyone responsible for maintaining Kubernetes clusters. Users who have installed plugins from untrusted sources are particularly vulnerable. Shared hosting environments where multiple users share a single Helm installation are also at increased risk.

• linux / server: Monitor Helm plugin directories (e.g., /var/lib/helm/plugins) for unexpected files or modifications. Use ls -l and find commands to identify anomalies.

find /var/lib/helm/plugins -type f -mmin -60 -print

• go: Inspect Helm plugin code for suspicious file path manipulation. Look for functions like os.MkdirAll or os.Create used with user-controlled input. • generic web: Examine Helm logs for errors related to file writing or permission denied errors.

journalctl -u helm -f

1. 2026-04-10Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-10
3. Gewijzigd2026-04-13
4. EPSS bijgewerkt2026-04-17

De primaire mitigatie is het upgraden van Helm naar versie 4.1.4 of hoger. Als een upgrade momenteel niet mogelijk is, overweeg dan het beperken van de plugins die gebruikers mogen installeren en updaten. Implementeer een beleid dat alleen vertrouwde plugins toestaat. Controleer de plugin broncode zorgvuldig voordat deze wordt geïnstalleerd. Er zijn geen specifieke WAF-regels of configuratiewerkarounds bekend, aangezien de kwetsbaarheid inherent is aan de manier waarop Helm plugins verwerkt. Na de upgrade, verifieer de installatie door een plugin te installeren en te controleren of deze correct wordt geïnstalleerd op de verwachte locatie.