Vulnerabilidad en la función de plantilla "lookup" en Helm. (CVE-2020-11013)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

24/04/2020

Última modificación:

06/07/2020

Descripción

Hay una vulnerabilidad de divulgación de información en Helm desde la versión 3.1.0 y versiones anteriores a la versión 3.2.0. "lookup" es una función de plantilla de Helm introducida en Helm versión v3. Puede buscar recursos en el clúster para comprobar la existencia de recursos específicos y obtener detalles sobre ellos. Esto puede ser usado como parte del proceso para renderizar plantillas. El comportamiento documentado de "helm template" afirma que no se adjunta a un clúster remoto. Sin embargo, la función de plantilla "lookup" agregada recientemente evita esta restricción y se conecta al clúster aún durante "helm template" y "helm install|update|delete|rollback --dry-run". El usuario no es notificado de este comportamiento. Al ejecutar "helm template" no debería hacer llamadas a un clúster. Esto es diferente de "install", que se supone que tiene acceso a un clúster para cargar recursos en Kubernetes. Helm versión 2 no está afectado por esta vulnerabilidad. Un autor de gráfico malicioso podría inyectar una "lookup" en un gráfico que, cuando es renderizado por medio de "helm template", realiza búsquedas no anunciadas contra el clúster al que apunta un archivo "KUBECONFIG" de user&#39;s. Esta información puede ser revelada por medio de la salida de "helm template". Este problema se ha corregido en Helm 3.2.0

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.00

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno