Helm < 3.14.1 路径遍历漏洞 (CVE-2024-25620)

漏洞类型 路径遍历 发现时间 2024-02-15 漏洞等级 中危
MPS编号 MPS-2si9-mtja CVE编号 CVE-2024-25620 漏洞影响广度 广

漏洞危害

OSCS 描述
Helm 是一个用于管理 Charts 的工具。Charts 是预配置的 Kubernetes 资源的包。
Helm 客户端或 SDK 在保存 Chart 目录时未验证目录路径的合法性。攻击者可以将 Chart.yaml 文件中的 Chart 名称改为相对路径,Chart 将根据相对路径保存在其预期目录之外。
参考链接:https://www.oscs1024.com/hd/MPS-2si9-mtja

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
helm.sh/helm/v3 (-∞, 3.14.1) 升级 将 github.com/helm/helm 升级至 3.14.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-2si9-mtja

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-2si9-mtja

https://nvd.nist.gov/vuln/detail/CVE-2024-25620

https://github.com/helm/helm/commit/0d0f91d1ce277b2c8766cdc4c7aa04dbafbf2503

https://github.com/helm/helm/security/advisories/GHSA-v53g-5gjp-272r

(0)
上一篇 2024年2月12日 上午12:00
下一篇 2024年2月16日 下午12:00

相关推荐

  • curl HSTS长文件名清除内容漏洞 (CVE-2023-46219)

    漏洞类型 敏感信息泄露 发现时间 2023-12-06 漏洞等级 低危 MPS编号 MPS-b3tl-rgea CVE编号 CVE-2023-46219 漏洞影响广度 小 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 由于curl的Curl_fopen函数保存HSTS 数据的文件名后面添加了一个后缀,创建了一个临时文件,…

    2023年12月7日
    0
  • Apache Airflow Spark Provider 任意文件读取漏洞 (CVE-2023-40272) [有POC]

    漏洞类型 输入验证不恰当 发现时间 2023-08-17 漏洞等级 高危 MPS编号 MPS-w0kg-9vl7 CVE编号 CVE-2023-40272 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Airflow Spark Provider是Apache Airflow项目的一个插件,用于在Airflow中管理和调度Apache Spar…

    2023年8月20日
    0
  • Reactor Netty HTTP Server 路径穿越漏洞 (CVE-2023-34062)

    漏洞类型 路径遍历 发现时间 2023-11-16 漏洞等级 高危 MPS编号 MPS-4391-uwmo CVE编号 CVE-2023-34062 漏洞影响广度 一般 漏洞危害 OSCS 描述 Netty 是一个用于开发Java网络应用程序的非阻塞 I/O框架,Reactor Netty是基于Netty框架的非阻塞请求客户端与服务端。 Reactor Ne…

    2023年11月17日
    0
  • Babel 插件任意代码执行漏洞漏洞【Poc公开】 (CVE-2023-45133)

    漏洞类型 不完整的黑名单 发现时间 2023-10-13 漏洞等级 严重 MPS编号 MPS-avb9-j50z CVE编号 CVE-2023-45133 漏洞影响广度 广 漏洞危害 OSCS 描述 Babel 是开源的 JavaScript 编译器。 当使用依赖 path.evaluate() 或 path.evaluateTruthy()方法的插件编译攻…

    2023年10月14日
    0
  • Google Chrome <116.0.5845.96 任意文件读取漏洞【poc已公开】 (CVE-2023-4357)

    漏洞类型 输入验证不恰当 发现时间 2023-11-17 漏洞等级 高危 MPS编号 MPS-cv7p-l1wh CVE编号 CVE-2023-4357 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。 Google Chrome 在116.0.5845.96版本之前,默认使用的xsl库调用do…

    2023年11月20日
    0