There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Helm is a package manager for Charts for Kubernetes. Versions prior to 3.14.2 contain an uninitialized
    variable vulnerability when Helm parses index and plugin yaml files missing expected content. When either
    an `index.yaml` file or a plugins `plugin.yaml` file were missing all metadata a panic would occur in
    Helm. In the Helm SDK, this is found when using the `LoadIndexFile` or `DownloadIndexFile` functions in
    the `repo` package or the `LoadDir` function in the `plugin` package. For the Helm client this impacts
    functions around adding a repository and all Helm functions if a malicious plugin is added as Helm
    inspects all known plugins on each invocation. This issue has been resolved in Helm v3.14.2. If a
    malicious plugin has been added which is causing all Helm client commands to panic, the malicious plugin
    can be manually removed from the filesystem. If using Helm SDK versions prior to 3.14.2, calls to affected
    functions can use `recover` to catch the panic. (CVE-2024-26147)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Helm 是一個適用於 Kubernetes Charts 的套件管理員。 3.14.2 之前的版本在 Helm 剖析遺漏預期內容的索引和外掛程式 yaml 檔案時含有一個未初始化變數弱點。當 `index.yaml` 檔案或外掛程式 `plugin.yaml` 檔案遺漏所有詮釋資料時Helm 會發生錯誤。在 Helm SDK 中使用 `repo` 套件中的 `LoadIndexFile` 或 `DownloadIndexFile` 函式或使用 `plugin` 套件中的 `LoadDir` 函式時會發現此問題。對於 Helm 用戶端這會影響與新增存放庫相關的函式以及新增惡意外掛程式時的所有 Helm 函式因為 Helm 會在每次叫用時檢查所有已知的外掛程式。此問題已在 Helm v3.14.2 中解決。如果已新增造成所有 Helm 用戶端命令錯誤的惡意外掛程式則可從檔案系統手動移除該惡意外掛程式。如果使用 3.14.2之前的 Helm SDK 版本則對受影響函式的呼叫可使用 `recover` 來捕捉錯誤。 (CVE-2024-26147)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Azure Linux 3.0 主機上安裝的 cert-manager / helm 版本比測試版舊。因此，此版本會受到 CVE-2024-26147 公告中提及的一個弱點影響。

  - Helm 是一個適用於 Kubernetes Charts 的套件管理員。 3.14.2 之前的版本在 Helm 剖析遺漏預期內容的索引和外掛程式 yaml 檔案時含有一個未初始化變數弱點。當 `index.yaml` 檔案或外掛程式 `plugin.yaml` 檔案遺漏所有詮釋資料時Helm 會發生錯誤。在 Helm SDK 中使用 `repo` 套件中的 `LoadIndexFile` 或 `DownloadIndexFile` 函式或使用 `plugin` 套件中的 `LoadDir` 函式時會發現此問題。對於 Helm 用戶端這會影響與新增存放庫相關的函式以及新增惡意外掛程式時的所有 Helm 函式因為 Helm 會在每次叫用時檢查所有已知的外掛程式。此問題已在 Helm v3.14.2 中解決。如果已新增造成所有 Helm 用戶端命令錯誤的惡意外掛程式則可從檔案系統手動移除該惡意外掛程式。如果使用 3.14.2之前的 Helm SDK 版本則對受影響函式的呼叫可使用 `recover` 來捕捉錯誤。 (CVE-2024-26147)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Helm 是 Charts for Kubernetes 的程序包管理器。 3.14.2 之前的版本在 Helm 解析的索引和插件 yaml 文件时缺少预期内容时包含一个未初始化的变量漏洞。当“index.yaml”文件或插件“plugin.yaml”文件缺少所有元数据时Helm 中会发生错误。在 Helm SDK 中使用“repo”程序包中的“LoadIndexFile”或“DownloadIndexFile”函数或“plugin”程序包中的“LoadDir”函数时会发现此漏洞。对于 Helm 客户端如果在 Helm 检查每次调用的所有已知插件时添加了恶意插件这会影响与添加存储库相关的函数和所有 Helm 函数。此问题在 Helm v3.14.2 中已解决。如果添加了导致所有 Helm 客户端命令错误的恶意插件可从文件系统手动删除该恶意插件。如果使用低于 3.14.2的 Helm SDK 版本对受影响函数的调用可以使用“recover”捕获错误。 (CVE-2024-26147)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Azure Linux 3.0 主机上安装的 cert-manager / helm 版本低于 测试的 版本。因此，该程序受到 CVE-2024-26147 公告中提及的一个漏洞影响。

  - Helm 是 Charts for Kubernetes 的程序包管理器。 3.14.2 之前的版本在 Helm 解析的索引和插件 yaml 文件时缺少预期内容时包含一个未初始化的变量漏洞。当“index.yaml”文件或插件“plugin.yaml”文件缺少所有元数据时Helm 中会发生错误。在 Helm SDK 中使用“repo”程序包中的“LoadIndexFile”或“DownloadIndexFile”函数或“plugin”程序包中的“LoadDir”函数时会发现此漏洞。对于 Helm 客户端如果在 Helm 检查每次调用的所有已知插件时添加了恶意插件这会影响与添加存储库相关的函数和所有 Helm 函数。此问题在 Helm v3.14.2 中已解决。如果添加了导致所有 Helm 客户端命令错误的恶意插件可从文件系统手动删除该恶意插件。如果使用低于 3.14.2的 Helm SDK 版本对受影响函数的调用可以使用“recover”捕获错误。 (CVE-2024-26147)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモート Azure Linux 3.0 ホストにインストールされている cert-manager / helm のバージョンは、テスト済みのバージョン より前の です。したがって、CVE-2024-26147 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Helm は、Charts for Kubernetes 用のパッケージマネージャーです。3.14.2 より前のバージョンには、Helm が期待されるコンテンツが欠落しているインデックスおよびプラグイン yaml ファイルを解析する際に、初期化されていない変数の脆弱性が含まれています。「index.yaml」ファイルまたはプラグインの「plugin.yaml」ファイルにすべてのメタデータがない場合、Helm でパニックが発生します。Helm SDK では、これは、「repo」パッケージの「LoadIndexFile」関数または「DownloadIndexFile」関数、または「plugin」パッケージの「LoadDir」関数を使用している場合に見つかります。これにより、Helm クライアントにおいて、悪意のあるプラグインが追加された場合、リポジトリの追加に関連した機能とすべての Helm 機能が影響を受けます。これは、Helm が呼び出しごとにすべての既知のプラグインを検査するためです。この問題は、Helm v3.14.2 で解決されています。すべての Helm クライアントコマンドにパニックを引き起こす悪意のあるプラグインが追加された場合、その悪意のあるプラグインをファイルシステムから手動で削除できます。3.14.2 より前の Helm SDK バージョンを使用する場合、影響を受ける関数への呼び出しで、「recover」を使用してパニックをキャッチできます。(CVE-2024-26147)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Helm は、Charts for Kubernetes 用のパッケージマネージャーです。3.14.2 より前のバージョンには、Helm が期待されるコンテンツが欠落しているインデックスおよびプラグイン yaml ファイルを解析する際に、初期化されていない変数の脆弱性が含まれています。「index.yaml」ファイルまたはプラグインの「plugin.yaml」ファイルにすべてのメタデータがない場合、Helm でパニックが発生します。Helm SDK では、これは、「repo」パッケージの「LoadIndexFile」関数または「DownloadIndexFile」関数、または「plugin」パッケージの「LoadDir」関数を使用している場合に見つかります。これにより、Helm クライアントにおいて、悪意のあるプラグインが追加された場合、リポジトリの追加に関連した機能とすべての Helm 機能が影響を受けます。これは、Helm が呼び出しごとにすべての既知のプラグインを検査するためです。この問題は、Helm v3.14.2 で解決されています。すべての Helm クライアントコマンドにパニックを引き起こす悪意のあるプラグインが追加された場合、その悪意のあるプラグインをファイルシステムから手動で削除できます。3.14.2 より前の Helm SDK バージョンを使用する場合、影響を受ける関数への呼び出しで、「recover」を使用してパニックをキャッチできます。(CVE-2024-26147)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:1137-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Helm は、チャートを管理するためのツールです。チャートは、事前構成済みの Kubernetes リソースのパッケージです。Helm クライアントまたは SDK のいずれかを使用して、「Chart.yaml」ファイル内の名前に相対パスの変更が含まれるチャートを保存すると、チャートが相対パスの変更に基づいて想定されるディレクトリの外に保存される可能性があります。検証と lint が名前のパス変更を検出しませんでした。この問題は、Helm v3.14.1 で解決されています。アップグレードできないユーザーは、「Chart.yaml」ファイルで見つかった名前のパス変更について、Helm が使用するすべてのチャートを確認する必要があります。これには依存関係も含まれます。(CVE-2024-25620)

  - Helm は、Charts for Kubernetes 用のパッケージマネージャーです。3.14.2 より前のバージョンには、Helm が期待されるコンテンツが欠落しているインデックスおよびプラグイン yaml ファイルを解析する際に、初期化されていない変数の脆弱性が含まれています。「index.yaml」ファイルまたはプラグインの「plugin.yaml」ファイルにすべてのメタデータがない場合、Helm でパニックが発生します。Helm SDK では、これは、「repo」パッケージの「LoadIndexFile」関数または「DownloadIndexFile」関数、または「plugin」パッケージの「LoadDir」関数を使用している場合に見つかります。これにより、Helm クライアントにおいて、悪意のあるプラグインが追加された場合、リポジトリの追加に関連した機能とすべての Helm 機能が影響を受けます。これは、Helm が呼び出しごとにすべての既知のプラグインを検査するためです。この問題は、Helm v3.14.2 で解決されています。すべての Helm クライアントコマンドにパニックを引き起こす悪意のあるプラグインが追加された場合、その悪意のあるプラグインをファイルシステムから手動で削除できます。3.14.2 より前の Helm SDK バージョンを使用する場合、影響を受ける関数への呼び出しで、「recover」を使用してパニックをキャッチできます。(CVE-2024-26147)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-SUSE-RU-2024:4213-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    helm が更新され、次の問題を修正します:

    バージョン 3.16.3 への更新:

      * 修正: ラベル名を修正
      * pkg/lint/rules/chartfile_test.go の入力ミスを修正
      * リリースに使用されるランナーのサイズの増加。
      * 修正 (hooks): フックの削除順序を修正
      * github.com/containerd/containerd を 1.7.12 から 1.7.23 に更新

    バージョン 3.16.2 への更新:

      * #13176 の問題とは無関係の Revering の変更 
      * 破損したチャートバージョン #13176 での Helm インデックスの処理テストを追加 
      * 破損した Helm チャートバージョン #13176 での Helm インデックスの処理を改善
      * 7 つの更新で k8s-io グループを更新
      * check-latest:true の追加
      * 文法の修正
      * 誤字を修正

    バージョン 3.16.1 への更新:

      * バージョンを 1.22.7 に更新
      * mattfarina/revert-11726 からのプルリクエスト #13327 をマージ

    バージョン 3.16.0 への更新:

      Helm v3.16.0 は機能リリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。
      * 重要な変更点
        - sha512sum テンプレート関数を追加しました
        - 引数をとらない cmd に ActiveHelp を追加しました
        - helm create で非常に古い Kubernetes バージョンのサポートをドロップします
        - --skip-schema-validation フラグを helm「install」、「upgrade」、および「lint」に追加します
        - 検出にバースト制限設定を使用するようにバグを修正しました
        - windows arm64 サポートを追加しました
      * 完全な変更ログ: https://github.com/helm/helm/releases/tag/v3.16.0

    バージョン 3.15.4 への更新:

      * 7 つの更新を含む 1 つのディレクトリに k8s-io グループを更新
      * github.com/docker/docker を更新

    -------------------------------------------------- ----------------- Thu Jul 11 05:39:32 UTC 2024 - opensuse_buildservice@ojkastl.de

    - バージョン 3.15.3 への更新:
      * 修正 (helm): 検出にバースト制限設定を使用
      * dependency_update_test.go を修正済み
      * 修正 (dependencyBuild): 同時に発生する helm 依存関係の競合状態を防止
      * 修正: helm インストール/アップグレードのプロキシ環境変数に配慮
      * alex-kattathra-johnson/issue-12961 からのプルリクエスト #13085 をマージ

    バージョン 3.15.2 への更新:

      * 修正: 間違った CLI の説明
      * load_plugins.go の誤字を修正
      * DeployedAll の docs を修正
      * github.com/docker/docker を更新
      * oras のマイナーバージョンを更新
      * feat(load.go): requirements.lock に警告を追加

    バージョン 3.15.1 への更新:

      * 間違ったバージョンが使用されるビルドの問題を修正

    バージョン 3.15.0 への更新:

      Helm v3.15.0 は機能リリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。

      * k8s 1.30 c4e37b3 に更新 (Matt Farina 氏)
      * バージョンを v3.15.0 d7afa3b に更新 (Matt Farina 氏)
      * バージョンを 7743467 に更新 (Matt Farina 氏)
      * kubeconfig エラー 214fb6e の名前空間を修正 (Calvin Krist 氏)
      * 3393 まで有効なキーで testdata PKI を更新 (修正 #12880) 1b75d48 (Dirk M?ller)
      * パッケージ作成時間 0a69a0d に基づいて、作成された注釈を入力する方法を変更 (Andrew Block 氏)
      * インストールおよびアップグレードのドライランでの秘密の非表示の有効化 25c4738 (Matt Farina 氏)
      * すべての linting エラー d58d7b3 を修正 (Robert Sirchia 氏)
      * --dry-run がシークレット a23dd9e を表示することについての注記を追加 (Matt Farina 氏)
      * .gitignore 8b424ba の更新 (Robert Sirchia 氏)
      * エラーメッセージ 8d19bcb を追加 (George Jenkins 氏)
      * 修正: インデックスロードのエイリアス検証エラーを無視 68294fd (George Jenkins 氏)
      * 検証修正 8e6a514 (Matt Farina 氏)
      * バグ: oci ゲッター 94c1dea のプロキシサポートを追加 (Ricardo Maraschini 氏)
      * アーキテクチャ検出メソッド 57a1bb8 を更新 (weidongkl)
      * リリースアクションを改善 4790bb9 (George Jenkins 氏)
      * 文法エラー c25736c を修正 (Matt Carr 氏)
      * レビューコメント d2cf8c6 用に更新済み (MichaelMorris 氏)
      * 待機ステータスチェック fc74964 に堅牢性を追加 (MichaelMorris 氏)
      * リファクタ: リリースがアンインストールされているかどうかをチェックするためのヘルパーを作成 f908379 (Alex Petrov 氏)
      * 修正: --keep-history 9e198fa で以前にアンインストールされたチャートを再インストール (Alex Petrov 氏)

    バージョン 3.14.4 への更新:

      Helm v3.14.4 はパッチリリースです。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。最高のエクスペリエンスを得るために、ユーザーはアップグレードすることが推奨されます。

      * リファクタ: リリースがアンインストールされているかどうかをチェックするためのヘルパーを作成 81c902a (Alex Petrov 氏)
      * 修正: --keep-history 5a11c76 で以前にアンインストールされたチャートを再インストール (Alex Petrov 氏)
      * バグ: oci ゲッター aa7d953 のプロキシサポートを追加 (Ricardo Maraschini 氏)

    バージョン 3.14.3 への更新:

      * --dry-run がシークレットを表示することについての注記を追加
      * エラーメッセージを追加
      * 修正: インデックスロードのエイリアス検証エラーを無視
      * アーキテクチャ検出メソッドを更新

    バージョン 3.14.2 への更新 (bsc#1220207、CVE-2024-26147)

       * yaml 解析の初期化されていない変数の修正

    バージョン 3.14.1 への更新 (bsc#1219969、CVE-2024-25620)

      * 検証の修正

    バージョン 3.14.0 への更新:

      * 重要な変更点
        - --fail-on-no-result の新しい helm 検索フラグ 
        - ネスト化された tpl 呼び出しが定義にアクセスできるようにします
        - tpl 機能を高速化します
        - Kubernetes パッケージに操作方法を指示する qps/HELM_QPS パラメーターを追加しました
        - lint コマンドに --kube-version を追加しました
        - ignore pkg が現在パブリックです
      * 変更ログ
        - リリースアクションを改善します
        - 生成の準備の検証がマージされたときの問題を修正します
        - デフォルトコードの k8sVersionMinor を使用するためのテストを修正します
        - lin: 機能と廃止予定のルールを設定するために --kube-version フラグを追加します
        - 資産の透明性の削除
        - tests(pkg/engine): RenderWithClientProvider をテストします
        -「ignore」パッケージを再び公開します
        - 機能 (pkg/engine): RenderWithClientProvider を導入します
        - k8s 1.28.4 用の Helm ライブラリの更新 
        - 過剰なロギングを削除します
        - CONTRIBUTING.md を更新します
        - ロールバックのリリースラベリングの修正
        - feat: livenessProbe と readinessProbe の値をデフォルト値ファイルに移動します
        -「fix(main): helm pull または push の基本認証を修正します」を戻します
        -「fix(registry): 匿名プル問題に対処」を元に戻します
        - get-helm-3 を更新します
        - クエリメソッドから filterSystemLabels の使用率をドロップします
        - レビューの提案を適用します
        - get-helm-3 を更新し、get.helm.sh からバージョンを取得します
        - feat: 失敗したフック名を印刷します
        - 値のインポートに関する優先順位の問題を修正します。
        - chore(create): スペースに合わせてインデントします
        - SQL バックエンドのシステムラベルに対するラベルセレクターの使用を許可します。
        - シークレットおよび configmap バックエンドのシステム ラベルにラベル セレクターの使用を許可します。
        - prepareUpgrade 中の役に立たない印刷を削除します
        - リリース gh アクションに欠落している with 節を追加します
        - Default ServiceAccount yaml を修正します
        - 修正 (registry): 匿名プル問題に対処します
        - 修正 (registry): unswallow エラー
        - リリースアクションで欠落している実行ステートメントを修正します
        - qps/HELM_QPS パラメーターを追加します
        - 最新バージョンを get.helm.sh バケットに書き込みます
        - リリース情報キー名の最大長を増加しました。
        - gox を特定のコミットに固定します
        - バイナリのインストールに関するパッケージマネージャーから「GoFish」を削除します
        -「ネスト化された「tpl」呼び出しが、含んでいるものの中の「定義」へアクセスできるようにします」に対するテスト更新します
        - 「スピードアップ「tpl」」のテスト更新
        - RISC-V のサポートを追加します
        - 一意のキー (名前またはエイリアス) で依存関係を参照するために、依存関係メタデータを lint 処理して検証します
        - 回避策 template.Clone オプションを省略します
        - 修正: ゲッターへの env-var として「passCredentialsAll」を渡します
        - feat: ダウンロードプラグインの実行時に基本認証を env-vars に渡します
        - helm search: 新しい CLI フラグ --fail-on-no-result
        - pkg/kube/ready.go を更新します
        - before-hook-creation ポリシーによる post install フック削除を修正します
        - ネスト化された「tpl」呼び出しが、含んでいるものの中の「定義」へアクセスできるようにします
        -「参照テンプレート」の概念を削除します
        -「tpl」を高速化します
        - レディチェッカー - コメント更新
        - レディチェッカー - 重複した statefulset 世代チェックを削除します
        - 準備状況チェックの生成を検証します
        - feat(helm):「helm upgrade」に --reset-then-reuse-values フラグを追加します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of cert-manager / helm installed on the remote Azure Linux 3.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2024-26147 advisory.

  - Helm is a package manager for Charts for Kubernetes. Versions prior to 3.14.2 contain an uninitialized     variable vulnerability when Helm parses index and plugin yaml files missing expected content. When either     an `index.yaml` file or a plugins `plugin.yaml` file were missing all metadata a panic would occur in     Helm. In the Helm SDK, this is found when using the `LoadIndexFile` or `DownloadIndexFile` functions in     the `repo` package or the `LoadDir` function in the `plugin` package. For the Helm client this impacts     functions around adding a repository and all Helm functions if a malicious plugin is added as Helm     inspects all known plugins on each invocation. This issue has been resolved in Helm v3.14.2. If a     malicious plugin has been added which is causing all Helm client commands to panic, the malicious plugin     can be manually removed from the filesystem. If using Helm SDK versions prior to 3.14.2, calls to affected     functions can use `recover` to catch the panic. (CVE-2024-26147)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of cert-manager / helm installed on the remote CBL Mariner 2.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2024-26147 advisory.

  - Helm is a package manager for Charts for Kubernetes. Versions prior to 3.14.2 contain an uninitialized     variable vulnerability when Helm parses index and plugin yaml files missing expected content. When either     an `index.yaml` file or a plugins `plugin.yaml` file were missing all metadata a panic would occur in     Helm. In the Helm SDK, this is found when using the `LoadIndexFile` or `DownloadIndexFile` functions in     the `repo` package or the `LoadDir` function in the `plugin` package. For the Helm client this impacts     functions around adding a repository and all Helm functions if a malicious plugin is added as Helm     inspects all known plugins on each invocation. This issue has been resolved in Helm v3.14.2. If a     malicious plugin has been added which is causing all Helm client commands to panic, the malicious plugin     can be manually removed from the filesystem. If using Helm SDK versions prior to 3.14.2, calls to affected     functions can use `recover` to catch the panic. (CVE-2024-26147)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Helm is a package manager for Charts for Kubernetes. Versions prior to 3.14.2 contain an uninitialized     variable vulnerability when Helm parses index and plugin yaml files missing expected content. When either     an `index.yaml` file or a plugins `plugin.yaml` file were missing all metadata a panic would occur in     Helm. In the Helm SDK, this is found when using the `LoadIndexFile` or `DownloadIndexFile` functions in     the `repo` package or the `LoadDir` function in the `plugin` package. For the Helm client this impacts     functions around adding a repository and all Helm functions if a malicious plugin is added as Helm     inspects all known plugins on each invocation. This issue has been resolved in Helm v3.14.2. If a     malicious plugin has been added which is causing all Helm client commands to panic, the malicious plugin     can be manually removed from the filesystem. If using Helm SDK versions prior to 3.14.2, calls to affected     functions can use `recover` to catch the panic. (CVE-2024-26147)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:1137-1 advisory.

    - CVE-2024-25620: Fixed with dependency management path traversal (bsc#1219969).
    - CVE-2024-26147: Fixed uninitialized variable in yaml parsing (bsc#1220207).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the TSSA-2024:0616 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2024-26147:
    Helm is a package manager for Charts for Kubernetes. Versions prior to 3.14.2 contain an uninitialized     variable vulnerability when Helm parses index and plugin yaml files missing expected content. When either     an `index.yaml` file or a plugins `plugin.yaml` file were missing all metadata a panic would occur in     Helm. In the Helm SDK, this is found when using the `LoadIndexFile` or `DownloadIndexFile` functions in     the `repo` package or the `LoadDir` function in the `plugin` package. For the Helm client this impacts     functions around adding a repository and all Helm functions if a malicious plugin is added as Helm     inspects all known plugins on each invocation. This issue has been resolved in Helm v3.14.2. If a     malicious plugin has been added which is causing all Helm client commands to panic, the malicious plugin     can be manually removed from the filesystem. If using Helm SDK versions prior to 3.14.2, calls to affected     functions can use `recover` to catch the panic.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-SUSE-RU-2024:4213-1 advisory.

    helm was updated to fix the following issues:

    Update to version 3.16.3:

      * fix: fix label name
      * Fix typo in pkg/lint/rules/chartfile_test.go
      * Increasing the size of the runner used for releases.
      * fix(hooks): correct hooks delete order
      * Bump github.com/containerd/containerd from 1.7.12 to 1.7.23

    Update to version 3.16.2:

      * Revering change unrelated to issue #13176
      * adds tests for handling of Helm index with broken chart         versions #13176
      * improves handling of Helm index with broken helm chart versions         #13176
      * Bump the k8s-io group with 7 updates
      * adding check-latest:true
      * Grammar fixes
      * Fix typos

    Update to version 3.16.1:

      * bumping version to 1.22.7
      * Merge pull request #13327 from mattfarina/revert-11726

    Update to version 3.16.0:

      Helm v3.16.0 is a feature release. Users are encouraged to       upgrade for the best experience.
      * Notable Changes
        - added sha512sum template function
        - added ActiveHelp for cmds that don't take any more args
        - drops very old Kubernetes versions support in helm create
        - add --skip-schema-validation flag to helm 'install',           'upgrade' and 'lint'
        - fixed bug to now use burst limit setting for discovery
        - Added windows arm64 support
      * Full changelog see         https://github.com/helm/helm/releases/tag/v3.16.0

    Update to version 3.15.4:

      * Bump the k8s-io group across 1 directory with 7 updates
      * Bump github.com/docker/docker

    -------------------------------------------------------------------     Thu Jul 11 05:39:32 UTC 2024 - opensuse_buildservice@ojkastl.de

    - Update to version 3.15.3:
      * fix(helm): Use burst limit setting for discovery
      * fixed dependency_update_test.go
      * fix(dependencyBuild): prevent race condition in concurrent helm         dependency
      * fix: respect proxy envvars on helm install/upgrade
      * Merge pull request #13085 from         alex-kattathra-johnson/issue-12961

    Update to version 3.15.2:

      * fix: wrong cli description
      * fix typo in load_plugins.go
      * fix docs of DeployedAll
      * Bump github.com/docker/docker
      * bump oras minor version
      * feat(load.go): add warning on requirements.lock

    Update to version 3.15.1:

      * Fixing build issue where wrong version is used

    Update to version 3.15.0:

      Helm v3.15.0 is a feature release. Users are encouraged to       upgrade for the best experience.

      * Updating to k8s 1.30 c4e37b3 (Matt Farina)
      * bump version to v3.15.0 d7afa3b (Matt Farina)
      * bump version to 7743467 (Matt Farina)
      * Fix namespace on kubeconfig error 214fb6e (Calvin Krist)
      * Update testdata PKI with keys that have validity until 3393         (Fixes #12880) 1b75d48 (Dirk M?ller)
      * Modified how created annotation is populated based on package         creation time 0a69a0d (Andrew Block)
      * Enabling hide secrets on install and upgrade dry run 25c4738         (Matt Farina)
      * Fixing all the linting errors d58d7b3 (Robert Sirchia)
      * Add a note about --dry-run displaying secrets a23dd9e (Matt         Farina)
      * Updating .gitignore 8b424ba (Robert Sirchia)
      * add error messages 8d19bcb (George Jenkins)
      * Fix: Ignore alias validation error for index load 68294fd         (George Jenkins)
      * validation fix 8e6a514 (Matt Farina)
      * bug: add proxy support for oci getter 94c1dea (Ricardo         Maraschini)
      * Update architecture detection method 57a1bb8 (weidongkl)
      * Improve release action 4790bb9 (George Jenkins)
      * Fix grammatical error c25736c (Matt Carr)
      * Updated for review comments d2cf8c6 (MichaelMorris)
      * Add robustness to wait status checks fc74964 (MichaelMorris)
      * refactor: create a helper for checking if a release is         uninstalled f908379 (Alex Petrov)
      * fix: reinstall previously uninstalled chart with --keep-history         9e198fa (Alex Petrov)

    Update to version 3.14.4:

      Helm v3.14.4 is a patch release. Users are encouraged to upgrade       for the best experience. Users are encouraged to upgrade for the       best experience.

      * refactor: create a helper for checking if a release is         uninstalled 81c902a (Alex Petrov)
      * fix: reinstall previously uninstalled chart with --keep-history         5a11c76 (Alex Petrov)
      * bug: add proxy support for oci getter aa7d953 (Ricardo         Maraschini)

    Update to version 3.14.3:

      * Add a note about --dry-run displaying secrets
      * add error messages
      * Fix: Ignore alias validation error for index load
      * Update architecture detection method

    Update to version 3.14.2 (bsc#1220207, CVE-2024-26147):

       * Fix for uninitialized variable in yaml parsing

    Update to version 3.14.1 (bsc#1219969, CVE-2024-25620):

      * validation fix

    Update to version 3.14.0:

      * Notable Changes
        - New helm search flag of --fail-on-no-result
        - Allow a nested tpl invocation access to defines
        - Speed up the tpl function
        - Added qps/HELM_QPS parameter that tells Kubernetes packages           how to operate
        - Added --kube-version to lint command
        - The ignore pkg is now public
      * Changelog
        - Improve release action
        - Fix issues when verify generation readiness was merged
        - fix test to use the default code's k8sVersionMinor
        - lint: Add --kube-version flag to set capabilities and           deprecation rules
        - Removing Asset Transparency
        - tests(pkg/engine): test RenderWithClientProvider
        - Make the `ignore` pkg public again
        - feature(pkg/engine): introduce RenderWithClientProvider
        - Updating Helm libraries for k8s 1.28.4
        - Remove excessive logging
        - Update CONTRIBUTING.md
        - Fixing release labelling in rollback
        - feat: move livenessProbe and readinessProbe values to default           values file
        - Revert 'fix(main): fix basic auth for helm pull or push'
        - Revert 'fix(registry): address anonymous pull issue'
        - Update get-helm-3
        - Drop filterSystemLabels usage from Query method
        - Apply review suggestions
        - Update get-helm-3 to get version through get.helm.sh
        - feat: print failed hook name
        - Fixing precedence issue with the import of values.
        - chore(create): indent to spaces
        - Allow using label selectors for system labels for sql           backend.
        - Allow using label selectors for system labels for secrets and           configmap backends.
        - remove useless print during prepareUpgrade
        - Add missing with clause to release gh action
        - FIX Default ServiceAccount yaml
        - fix(registry): address anonymous pull issue
        - fix(registry): unswallow error
        - Fix missing run statement on release action
        - Add qps/HELM_QPS parameter
        - Write latest version to get.helm.sh bucket
        - Increased release information key name max length.
        - Pin gox to specific commit
        - Remove `GoFish` from package managers for installing  the           binary
        - Test update for 'Allow a nested `tpl` invocation access to           `defines` in a containing one'
        - Test update for 'Speed up `tpl`'
        - Add support for RISC-V
        - lint and validate dependency metadata to reference           dependencies with a unique key (name or alias)
        - Work around template.Clone omitting options
        - fix: pass 'passCredentialsAll' as env-var to getter
        - feat: pass basic auth to env-vars when running download           plugins
        - helm search: New CLI Flag --fail-on-no-result
        - Update pkg/kube/ready.go
        - fix post install hook deletion due to before-hook-creation           policy
        - Allow a nested `tpl` invocation access to `defines` in a           containing one
        - Remove the 'reference templates' concept
        - Speed up `tpl`
        - ready checker- comment update
        - ready checker- remove duplicate statefulset generational           check
        - Verify generation in readiness checks
        - feat(helm): add --reset-then-reuse-values flag to 'helm           upgrade'

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418491	SCA: security update for helm.sh/helm/v3 (GHSA-r53h-jv2g-vpx6)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
418491	SCA: security update for helm.sh/helm/v3 (GHSA-r53h-jv2g-vpx6)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
253287	Linux Distros 未修補的弱點：CVE-2024-26147	Nessus	Misc.	2025/8/21	2026/7/18	high
215534	Azure Linux 3.0 安全性更新cert-manager / helm (CVE-2024-26147)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	high
253287	Linux Distros 未修补的漏洞：CVE-2024-26147	Nessus	Misc.	2025/8/21	2026/7/18	high
215534	Azure Linux 3.0 安全更新cert-manager / helm (CVE-2024-26147)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	high
215534	Azure Linux 3.0 セキュリティ更新cert-manager / helmCVE-2024-26147]	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	high
253287	Linux Distros のパッチ未適用の脆弱性: CVE-2024-26147	Nessus	Misc.	2025/8/21	2026/7/18	high
193054	SUSE SLES15 / openSUSE 15 セキュリティ更新 : helm (SUSE-SU-2024:1137-1)	Nessus	SuSE Local Security Checks	2024/4/9	2026/6/26	high
212280	SUSE SLES15 / openSUSE 15 : helm の更新を推奨 (SUSE-SU-SUSE-RU-2024:4213-1)	Nessus	SuSE Local Security Checks	2024/12/11	2026/6/26	high
215534	Azure Linux 3.0 Security Update: cert-manager / helm (CVE-2024-26147)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	high
201703	CBL Mariner 2.0 Security Update: cert-manager / helm (CVE-2024-26147)	Nessus	MarinerOS Local Security Checks	2024/7/3	2025/2/10	high
253287	Linux Distros Unpatched Vulnerability : CVE-2024-26147	Nessus	Misc.	2025/8/21	2026/7/18	high
193054	SUSE SLES15: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2024:1137-1)	Nessus	SuSE Local Security Checks	2024/4/9	2026/6/26	high
238888	TencentOS Server 4: helm (TSSA-2024:0616)	Nessus	Tencent Local Security Checks	2025/6/16	2025/12/4	high
212280	SUSE SLES15: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-SUSE-RU-2024:4213-1)	Nessus	SuSE Local Security Checks	2024/12/11	2026/6/26	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high