Helm-Abhängigkeitsaktualisierungslücke: Manipuliertes Chart.yaml kann zur lokalen Codeausführung führen

Eine Sicherheitslücke in Helm ermöglicht die lokale Codeausführung durch eine sorgfältig manipulierte Chart.yaml-Datei und eine symbolische Verknüpfung der Chart.lock-Datei bei der Aktualisierung von Abhängigkeiten. Felder aus Chart.yaml werden während der Aktualisierung in Chart.lock geschrieben. Wenn Chart.lock symbolisch mit einer ausführbaren Datei (z. B. bash.rc) verknüpft ist, schreibt die Aktualisierung der Abhängigkeiten den Inhalt von Chart.lock in die symbolisch verknüpfte Datei, was zur Ausführung von beliebigem Code führt. Helm v3.18.4 behebt dieses Problem. Führen Sie ein Update durch und überprüfen Sie, ob symbolisch verknüpfte Chart.lock-Dateien vorhanden sind.