Vulnérabilité de mise à jour des dépendances Helm : un fichier Chart.yaml manipulé peut entraîner l’exécution de code local

Une vulnérabilité dans Helm permet l’exécution de code local via un fichier Chart.yaml soigneusement conçu et un fichier Chart.lock symbolique lors des mises à jour des dépendances. Les champs de Chart.yaml sont écrits dans Chart.lock lors des mises à jour. Si Chart.lock est un lien symbolique vers un fichier exécutable (par exemple, bash.rc), la mise à jour des dépendances écrit le contenu de Chart.lock dans le fichier symbolique, entraînant l’exécution de code arbitraire. Helm v3.18.4 corrige ce problème ; effectuez une mise à jour et vérifiez la présence de fichiers Chart.lock symboliques.