🇰🇷 한글 설명
Helm의 _strvals_ 패키지 내 파서에서 퍼징 테스트를 통해 메모리 부족(Out of Memory) 패닉을 유발할 수 있는 취약점이 발견되었습니다. 공격자가 특정 문자열 입력을 제공할 경우 대규모 배열 구조가 생성되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
Helm이라는 도구에 특수한 문자열을 입력하면 컴퓨터의 메모리를 과도하게 사용하여 프로그램이 갑자기 꺼질 수 있습니다. 이로 인해 명령어를 실행하는 동안 작업이 중단되는 문제가 발생합니다.
🇺🇸 원문 (English)
Helm is a tool for managing Charts. Charts are packages of pre-configured Kubernetes resources. Fuzz testing, provided by the CNCF, identified input to functions in the _strvals_ package that can cause an out of memory panic. The _strvals_ package contains a parser that turns strings in to Go structures. The _strvals_ package converts these strings into structures Go can work with. Some string inputs can cause array data structures to be created causing an out of memory panic. Applications that use the _strvals_ package in the Helm SDK to parse user supplied input can suffer a Denial of Service when that input causes a panic that cannot be recovered from. The Helm Client will panic with input to `--set`, `--set-string`, and other value setting flags that causes an out of memory panic. Helm is not a long running service so the panic will not affect future uses of the Helm client. This issue has been resolved in 3.9.4. SDK users can validate strings supplied by users won't create large arrays causing significant memory usage before passing them to the _strvals_ functions.
📍 영향받는 시스템
Helm SDK를 사용하는 애플리케이션 및 --set, --set-string 플래그를 사용하는 Helm 클라이언트
⚔️ 공격 벡터
사용자로부터 입력받은 악의적인 문자열을 Helm의 값 설정 플래그(--set 등)를 통해 전달
🛡️ 대응 방법
Helm 버전을 3.9.4 이상으로 업데이트하거나, SDK 사용 시 입력 문자열의 크기와 배열 생성 여부를 사전에 검증
🔧 검증 코드
출력된 Helm 버전이 3.9.4 미만인 경우 해당 취약점에 노출되어 있습니다.
helm version | grep -E 'v3\.[0-9]+\.[0-9]+' | awk '{print $1}'