🇰🇷 한글 설명
Helm 3.10.3 미만 버전에서 발생하는 제어되지 않은 리소스 소비 취약점으로, _strvals 패키지의 함수에 입력된 값이 스택 오버플로를 유발할 수 있습니다. Go 언어의 특성상 스택 오버플로는 복구가 불가능하여 서비스 거부(DoS) 상태를 초래할 수 있습니다.
💡 쉬운 설명
Helm이라는 도구에 특수한 데이터를 입력하면 프로그램이 감당할 수 없는 메모리 오류를 일으켜 멈춰버릴 수 있습니다. 이로 인해 관리 중인 서비스가 중단되는 현상이 발생할 수 있습니다.
🇺🇸 원문 (English)
Helm is a tool for managing Charts, pre-configured Kubernetes resources. Versions prior to 3.10.3 are subject to Uncontrolled Resource Consumption, resulting in Denial of Service. Input to functions in the _strvals_ package can cause a stack overflow. In Go, a stack overflow cannot be recovered from. Applications that use functions from the _strvals_ package in the Helm SDK can have a Denial of Service attack when they use this package and it panics. This issue has been patched in 3.10.3. SDK users can validate strings supplied by users won't create large arrays causing significant memory usage before passing them to the _strvals_ functions.
📍 영향받는 시스템
Helm 3.10.3 미만 모든 버전
⚔️ 공격 벡터
사용자로부터 입력받은 조작된 문자열을 Helm SDK의 _strvals 패키지 함수로 전달하여 스택 오버플로 유발
🛡️ 대응 방법
Helm을 3.10.3 이상 버전으로 업데이트하거나, SDK 사용 시 입력 문자열의 크기를 사전에 검증함
🔧 검증 코드
출력된 버전 번호가 3.10.3보다 낮으면 취약한 상태입니다.
helm version --template '{{.Version}}' 2>/dev/null | grep -E '^([0-9]+\.[0-9]+\.[0-9]+)$'