There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Their is an information disclosure vulnerability in Helm from version 3.1.0 and before version 3.2.0.
    `lookup` is a Helm template function introduced in Helm v3. It is able to lookup resources in the cluster
    to check for the existence of specific resources and get details about them. This can be used as part of
    the process to render templates. The documented behavior of `helm template` states that it does not attach
    to a remote cluster. However, a the recently added `lookup` template function circumvents this restriction
    and connects to the cluster even during `helm template` and `helm install|update|delete|rollback --dry-
    run`. The user is not notified of this behavior. Running `helm template` should not make calls to a
    cluster. This is different from `install`, which is presumed to have access to a cluster in order to load
    resources into Kubernetes. Helm 2 is unaffected by this vulnerability. A malicious chart author could
    inject a `lookup` into a chart that, when rendered through `helm template`, performs unannounced lookups
    against the cluster a user&#39;s `KUBECONFIG` file points to. This information can then be disclosed via
    the output of `helm template`. This issue has been fixed in Helm 3.2.0 (CVE-2020-11013)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 是 3.1.0 版及之前版本 3.2.0版 Helm 中的資訊洩漏弱點。
    `lookup` 是 Helm v3 中引入的一個 Helm 範本函式。它可以在叢集中查閱資源以檢查特定資源是否存在並取得其詳細資料。這可以做為轉譯範本之處理程序的一部分。`helm template` 的記錄行為指出其不會附加至遠端叢集。不過最近新增的 `lookup` 範本函式可規避此限制且即使在 `helm template` 和 `helm install|update|delete|rollback --dry-run`期間亦會連線至叢集。不會將此行為通知使用者。執行 `helm template` 時不應呼叫叢集。這與 `install` 不同後者假定具有叢集存取權以便將資源載入 Kubernetes。Helm 2 不受此弱點影響。惡意圖表作者可將 `lookup` 插入圖表中該圖表在透過 `helm template` 轉譯時會針對使用者的 `KUBECONFIG` 檔案指向的叢集執行不明查詢。然後可以透過 `helm template` 的輸出洩漏此資訊。此問題已在 Helm 中修正 3.2.0 (CVE-2020-11013)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 这是 Helm 3.1.0 版之前的 3.2.0版中的一个信息泄露漏洞。
    “lookup”是在 Helm v3 中引入的 Helm 模板函数。它能够在群集中查找资源，以检查特定资源是否存在并获取它们的详细信息。这可用作渲染模板进程的一部分。记录的“helm template”行为称其未附加到远程群集。但是最近添加的“lookup”模板函数会避开此限制即使在“helm template”和“helm install|update|delete|rollback --dry-run”期间也会连接到群集。且不会通知用户此行为。运行“helm template”不应调用群集。这与“install”不同，后者被假定拥有集群访问权限以便将资源加载到 Kubernetes 中。Helm 2 不受此漏洞的影响。恶意图表作者可将“lookup”注入图表中当通过“helm template”进行渲染时会针对用户的“KUBECONFIG”文件指向的群集执行未经事先通知的查找。此信息可通过“helm template”的输出泄露。此问题已在 Helm 中修复 3.2.0 (CVE-2020-11013)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - それらは、バージョン 3.1.0 およびバージョン 3.2.0より前の Helm の情報漏洩の脆弱性です。
    「lookup」は、Helm v3 で導入された Helm テンプレート関数です。クラスター内のリソースを検索して、特定のリソースの存在をチェックし、それらの詳細を取得できます。これは、テンプレートをレンダリングするプロセスの一部として使用できます。「helm テンプレート」の文書化された動作によると、リモートクラスターに接続されないことがわかりました。しかし、最近追加された「lookup」テンプレート関数は、この制限を回避し、「helm template」および「helm install|update|delete|rollback --dry-run」の最中でもクラスターに接続します。ユーザーはこの動作について通知されません。「helm テンプレート」を実行中は、クラスターに対して呼び出しを行うべきではありません。これは、Kubernetes にリソースを読み込むためにクラスターへのアクセス権があることが前提となっている「install」とは異なります。Helm 2 は、この脆弱性の影響を受けません。悪意のあるチャート作者が、「helm テンプレート」を通じてレンダリングする際、ユーザーの「KUBECONFIG」ファイルが指し示すクラスターに対して通知されない検索を実行するチャートに「検索」を注入する可能性があります。この情報は、「helm テンプレート」の出力を介して漏洩する可能性があります。この問題は Helm で修正されています 3.2.0CVE-2020-11013

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Their is an information disclosure vulnerability in Helm from version 3.1.0 and before version 3.2.0.
    `lookup` is a Helm template function introduced in Helm v3. It is able to lookup resources in the cluster     to check for the existence of specific resources and get details about them. This can be used as part of     the process to render templates. The documented behavior of `helm template` states that it does not attach     to a remote cluster. However, a the recently added `lookup` template function circumvents this restriction     and connects to the cluster even during `helm template` and `helm install|update|delete|rollback --dry-     run`. The user is not notified of this behavior. Running `helm template` should not make calls to a     cluster. This is different from `install`, which is presumed to have access to a cluster in order to load     resources into Kubernetes. Helm 2 is unaffected by this vulnerability. A malicious chart author could     inject a `lookup` into a chart that, when rendered through `helm template`, performs unannounced lookups     against the cluster a user's `KUBECONFIG` file points to. This information can then be disclosed via     the output of `helm template`. This issue has been fixed in Helm 3.2.0 (CVE-2020-11013)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
431960	SCA: security update for helm.sh/helm/v3 (GHSA-q8q8-93cv-v6h8)	Tenable Cloud Security	SCA Checks	8/7/2025	7/2/2026	medium
431960	SCA: security update for helm.sh/helm/v3 (GHSA-q8q8-93cv-v6h8)	Tenable Self-Hosted Container Security	SCA Checks	8/7/2025	7/2/2026	medium
261364	Linux Distros 未修補的弱點：CVE-2020-11013	Nessus	Misc.	9/4/2025	7/12/2026	medium
261364	Linux Distros 未修补的漏洞：CVE-2020-11013	Nessus	Misc.	9/4/2025	7/12/2026	medium
261364	Linux Distros のパッチ未適用の脆弱性: CVE-2020-11013	Nessus	Misc.	9/4/2025	7/12/2026	medium
261364	Linux Distros Unpatched Vulnerability : CVE-2020-11013	Nessus	Misc.	9/4/2025	7/12/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium