🇰🇷 한글 설명
Helm 3.6.1 미만 버전에서 Helm 저장소와 관련된 사용자 이름 및 비밀번호 자격 증명이 해당 저장소에서 참조하는 다른 도메인으로 전달될 수 있는 취약점이 존재합니다. 이 문제는 index.yaml 파일의 urls 목록에 다른 도메인이 포함되어 있을 경우 발생하며, 3.6.1 버전에서 해결되었습니다.
💡 쉬운 설명
Helm이라는 도구를 사용할 때, 로그인 정보가 나도 모르게 다른 사이트로 유출될 수 있는 보안 허점이 발견되었습니다. 해커가 만든 저장소를 이용하면 여러분의 아이디와 비밀번호를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Helm is a tool for managing Charts (packages of pre-configured Kubernetes resources). In versions of helm prior to 3.6.1, a vulnerability exists where the username and password credentials associated with a Helm repository could be passed on to another domain referenced by that Helm repository. This issue has been resolved in 3.6.1. There is a workaround through which one may check for improperly passed credentials. One may use a username and password for a Helm repository and may audit the Helm repository in order to check for another domain being used that could have received the credentials. In the `index.yaml` file for that repository, one may look for another domain in the `urls` list for the chart versions. If there is another domain found and that chart version was pulled or installed, the credentials would be passed on.
📍 영향받는 시스템
Helm versions prior to 3.6.1
⚔️ 공격 벡터
악의적으로 구성된 index.yaml 파일 내의 외부 도메인 URL을 통한 자격 증명 탈취
🛡️ 대응 방법
Helm을 3.6.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 v3.6.1 미만의 버전이 나타나면 취약한 상태이며, 3.6.1 이상이어야 안전합니다.
helm version --short | grep -E 'v3\.[0-5]\.'