リモート Azure Linux 3.0 ホストにインストールされている cert-manager / helm のバージョンは、テスト済みのバージョン より前の です。したがって、CVE-2024-25620 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Helm は、チャートを管理するためのツールです。チャートは、事前構成済みの Kubernetes リソースのパッケージです。Helm クライアントまたは SDK のいずれかを使用して、「Chart.yaml」ファイル内の名前に相対パスの変更が含まれるチャートを保存すると、チャートが相対パスの変更に基づいて想定されるディレクトリの外に保存される可能性があります。検証と lint が名前のパス変更を検出しませんでした。この問題は、Helm v3.14.1 で解決されています。アップグレードできないユーザーは、「Chart.yaml」ファイルで見つかった名前のパス変更について、Helm が使用するすべてのチャートを確認する必要があります。これには依存関係も含まれます。(CVE-2024-25620)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-SUSE-RU-2024:4213-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    helm が更新され、次の問題を修正します:

    バージョン 3.16.3 への更新:

      * 修正: ラベル名を修正
      * pkg/lint/rules/chartfile_test.go の入力ミスを修正
      * リリースに使用されるランナーのサイズの増加。
      * 修正 (hooks): フックの削除順序を修正
      * github.com/containerd/containerd を 1.7.12 から 1.7.23 に更新

    バージョン 3.16.2 への更新:

      * #13176 の問題とは無関係の Revering の変更 
      * 破損したチャートバージョン #13176 での Helm インデックスの処理テストを追加 
      * 破損した Helm チャートバージョン #13176 での Helm インデックスの処理を改善
      * 7 つの更新で k8s-io グループを更新
      * check-latest:true の追加
      * 文法の修正
      * 誤字を修正

    バージョン 3.16.1 への更新:

      * バージョンを 1.22.7 に更新
      * mattfarina/revert-11726 からのプルリクエスト #13327 をマージ

    バージョン 3.16.0 への更新:

      Helm v3.16.0 は機能リリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。
      * 重要な変更点
        - sha512sum テンプレート関数を追加しました
        - 引数をとらない cmd に ActiveHelp を追加しました
        - helm create で非常に古い Kubernetes バージョンのサポートをドロップします
        - --skip-schema-validation フラグを helm「install」、「upgrade」、および「lint」に追加します
        - 検出にバースト制限設定を使用するようにバグを修正しました
        - windows arm64 サポートを追加しました
      * 完全な変更ログ: https://github.com/helm/helm/releases/tag/v3.16.0

    バージョン 3.15.4 への更新:

      * 7 つの更新を含む 1 つのディレクトリに k8s-io グループを更新
      * github.com/docker/docker を更新

    -------------------------------------------------- ----------------- Thu Jul 11 05:39:32 UTC 2024 - opensuse_buildservice@ojkastl.de

    - バージョン 3.15.3 への更新:
      * 修正 (helm): 検出にバースト制限設定を使用
      * dependency_update_test.go を修正済み
      * 修正 (dependencyBuild): 同時に発生する helm 依存関係の競合状態を防止
      * 修正: helm インストール/アップグレードのプロキシ環境変数に配慮
      * alex-kattathra-johnson/issue-12961 からのプルリクエスト #13085 をマージ

    バージョン 3.15.2 への更新:

      * 修正: 間違った CLI の説明
      * load_plugins.go の誤字を修正
      * DeployedAll の docs を修正
      * github.com/docker/docker を更新
      * oras のマイナーバージョンを更新
      * feat(load.go): requirements.lock に警告を追加

    バージョン 3.15.1 への更新:

      * 間違ったバージョンが使用されるビルドの問題を修正

    バージョン 3.15.0 への更新:

      Helm v3.15.0 は機能リリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。

      * k8s 1.30 c4e37b3 に更新 (Matt Farina 氏)
      * バージョンを v3.15.0 d7afa3b に更新 (Matt Farina 氏)
      * バージョンを 7743467 に更新 (Matt Farina 氏)
      * kubeconfig エラー 214fb6e の名前空間を修正 (Calvin Krist 氏)
      * 3393 まで有効なキーで testdata PKI を更新 (修正 #12880) 1b75d48 (Dirk M?ller)
      * パッケージ作成時間 0a69a0d に基づいて、作成された注釈を入力する方法を変更 (Andrew Block 氏)
      * インストールおよびアップグレードのドライランでの秘密の非表示の有効化 25c4738 (Matt Farina 氏)
      * すべての linting エラー d58d7b3 を修正 (Robert Sirchia 氏)
      * --dry-run がシークレット a23dd9e を表示することについての注記を追加 (Matt Farina 氏)
      * .gitignore 8b424ba の更新 (Robert Sirchia 氏)
      * エラーメッセージ 8d19bcb を追加 (George Jenkins 氏)
      * 修正: インデックスロードのエイリアス検証エラーを無視 68294fd (George Jenkins 氏)
      * 検証修正 8e6a514 (Matt Farina 氏)
      * バグ: oci ゲッター 94c1dea のプロキシサポートを追加 (Ricardo Maraschini 氏)
      * アーキテクチャ検出メソッド 57a1bb8 を更新 (weidongkl)
      * リリースアクションを改善 4790bb9 (George Jenkins 氏)
      * 文法エラー c25736c を修正 (Matt Carr 氏)
      * レビューコメント d2cf8c6 用に更新済み (MichaelMorris 氏)
      * 待機ステータスチェック fc74964 に堅牢性を追加 (MichaelMorris 氏)
      * リファクタ: リリースがアンインストールされているかどうかをチェックするためのヘルパーを作成 f908379 (Alex Petrov 氏)
      * 修正: --keep-history 9e198fa で以前にアンインストールされたチャートを再インストール (Alex Petrov 氏)

    バージョン 3.14.4 への更新:

      Helm v3.14.4 はパッチリリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。

      * リファクタ: リリースがアンインストールされているかどうかをチェックするためのヘルパーを作成 81c902a (Alex Petrov 氏)
      * 修正: --keep-history 5a11c76 で以前にアンインストールされたチャートを再インストール (Alex Petrov 氏)
      * バグ: oci ゲッター aa7d953 のプロキシサポートを追加 (Ricardo Maraschini 氏)

    バージョン 3.14.3 への更新:

      * --dry-run がシークレットを表示することについての注記を追加
      * エラーメッセージを追加
      * 修正: インデックスロードのエイリアス検証エラーを無視
      * アーキテクチャ検出メソッドを更新

    バージョン 3.14.2 への更新 (bsc#1220207、CVE-2024-26147)

       * yaml 解析の初期化されていない変数の修正

    バージョン 3.14.1 への更新 (bsc#1219969、CVE-2024-25620)

      * 検証の修正

    バージョン 3.14.0 への更新:

      * 重要な変更点
        - --fail-on-no-result の新しい helm 検索フラグ 
        - ネスト化された tpl 呼び出しが定義にアクセスできるようにします
        - tpl 機能を高速化します
        - Kubernetes パッケージに操作方法を指示する qps/HELM_QPS パラメーターを追加しました
        - lint コマンドに --kube-version を追加しました
        - ignore pkg が現在パブリックです
      * 変更ログ
        - リリースアクションを改善します
        - 生成の準備の検証がマージされたときの問題を修正します
        - デフォルトコードの k8sVersionMinor を使用するためのテストを修正します
        - lin: 機能と廃止予定のルールを設定するために --kube-version フラグを追加します
        - 資産の透明性の削除
        - tests(pkg/engine): RenderWithClientProvider をテストします
        -「ignore」パッケージを再び公開します
        - 機能 (pkg/engine): RenderWithClientProvider を導入します
        - k8s 1.28.4 用の Helm ライブラリの更新 
        - 過剰なロギングを削除します
        - CONTRIBUTING.md を更新します
        - ロールバックのリリースラベリングの修正
        - feat: livenessProbe と readinessProbe の値をデフォルト値ファイルに移動します
        -「fix(main): helm pull または push の基本認証を修正します」を戻します
        -「fix(registry): 匿名プル問題に対処」を元に戻します
        - get-helm-3 を更新します
        - クエリメソッドから filterSystemLabels の使用率をドロップします
        - レビューの提案を適用します
        - get-helm-3 を更新し、get.helm.sh からバージョンを取得します
        - feat: 失敗したフック名を印刷します
        - 値のインポートに関する優先順位の問題を修正します。
        - chore(create): スペースに合わせてインデントします
        - SQL バックエンドのシステムラベルに対するラベルセレクターの使用を許可します。
        - シークレットおよび configmap バックエンドのシステム ラベルにラベル セレクターの使用を許可します。
        - prepareUpgrade 中の役に立たない印刷を削除します
        - リリース gh アクションに欠落している with 節を追加します
        - Default ServiceAccount yaml を修正します
        - 修正 (registry): 匿名プル問題に対処します
        - 修正 (registry): unswallow エラー
        - リリースアクションで欠落している実行ステートメントを修正します
        - qps/HELM_QPS パラメーターを追加します
        - 最新バージョンを get.helm.sh バケットに書き込みます
        - リリース情報キー名の最大長を増加しました。
        - gox を特定のコミットに固定します
        - バイナリのインストールに関するパッケージマネージャーから「GoFish」を削除します
        -「ネスト化された「tpl」呼び出しが、含んでいるものの中の「定義」へアクセスできるようにします」に対するテスト更新します
        - 「スピードアップ「tpl」」のテスト更新
        - RISC-V のサポートを追加します
        - 一意のキー (名前またはエイリアス) で依存関係を参照するために、依存関係メタデータを lint 処理して検証します
        - 回避策 template.Clone オプションを省略します
        - 修正: ゲッターへの env-var として「passCredentialsAll」を渡します
        - feat: ダウンロードプラグインの実行時に基本認証を env-vars に渡します
        - helm search: 新しい CLI フラグ --fail-on-no-result
        - pkg/kube/ready.go を更新します
        - before-hook-creation ポリシーによる post install フック削除を修正します
        - ネスト化された「tpl」呼び出しが、含んでいるものの中の「定義」へアクセスできるようにします
        -「参照テンプレート」の概念を削除します
        -「tpl」を高速化します
        - レディチェッカー - コメント更新
        - レディチェッカー - 重複した statefulset 世代チェックを削除します
        - 準備状況チェックの生成を検証します
        - feat(helm):「helm upgrade」に --reset-then-reuse-values フラグを追加します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:1137-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Helm は、チャートを管理するためのツールです。チャートは、事前構成済みの Kubernetes リソースのパッケージです。Helm クライアントまたは SDK のいずれかを使用して、「Chart.yaml」ファイル内の名前に相対パスの変更が含まれるチャートを保存すると、チャートが相対パスの変更に基づいて想定されるディレクトリの外に保存される可能性があります。検証と lint が名前のパス変更を検出しませんでした。この問題は、Helm v3.14.1 で解決されています。アップグレードできないユーザーは、「Chart.yaml」ファイルで見つかった名前のパス変更について、Helm が使用するすべてのチャートを確認する必要があります。これには依存関係も含まれます。(CVE-2024-25620)

  - Helm は、Charts for Kubernetes 用のパッケージマネージャーです。3.14.2 より前のバージョンには、Helm が期待されるコンテンツが欠落しているインデックスおよびプラグイン yaml ファイルを解析する際に、初期化されていない変数の脆弱性が含まれています。「index.yaml」ファイルまたはプラグインの「plugin.yaml」ファイルにすべてのメタデータがない場合、Helm でパニックが発生します。Helm SDK では、これは、「repo」パッケージの「LoadIndexFile」関数または「DownloadIndexFile」関数、または「plugin」パッケージの「LoadDir」関数を使用している場合に見つかります。これにより、Helm クライアントにおいて、悪意のあるプラグインが追加された場合、リポジトリの追加に関連した機能とすべての Helm 機能が影響を受けます。これは、Helm が呼び出しごとにすべての既知のプラグインを検査するためです。この問題は、Helm v3.14.2 で解決されています。すべての Helm クライアントコマンドにパニックを引き起こす悪意のあるプラグインが追加された場合、その悪意のあるプラグインをファイルシステムから手動で削除できます。3.14.2 より前の Helm SDK バージョンを使用する場合、影響を受ける関数への呼び出しで、「recover」を使用してパニックをキャッチできます。(CVE-2024-26147)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
215628	Azure Linux 3.0 セキュリティ更新cert-manager / helmCVE-2024-25620]	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	medium
212280	SUSE SLES15 / openSUSE 15 : helm の更新を推奨 (SUSE-SU-SUSE-RU-2024:4213-1)	Nessus	SuSE Local Security Checks	2024/12/11	2024/12/11	medium
193054	SUSE SLES15 / openSUSE 15 セキュリティ更新 : helm (SUSE-SU-2024:1137-1)	Nessus	SuSE Local Security Checks	2024/4/9	2024/4/9	medium

検出

プラグインの検索

medium

medium

medium