CVE-2025-14269

Ein Sicherheitsproblem wurde in der In-Cluster-Version von Headlamp entdeckt, bei dem nicht authentifizierte Benutzer möglicherweise zwischengespeicherte Anmeldeinformationen wiederverwenden können, um über die Headlamp-Benutzeroberfläche auf Helm-Funktionen zuzugreifen. Kubernetes-Cluster sind nur betroffen, wenn Headlamp installiert ist, mit config.enableHelm: true konfiguriert wurde und ein autorisierter Benutzer zuvor auf die Helm-Funktionalität zugegriffen hat.

PoC

• Installieren Sie Headlamp Version <= v0.38.0
• Konfiguriert mit config.enableHelm: true
• Der angemeldete Benutzer muss die Helm-Seite öffnen (/clusters/main/helm/releases/list), woraufhin die Antwort zwischengespeichert wird.
• Danach kann ein nicht autorisierter Benutzer ebenfalls eine Anfrage an /clusters/main/helm/releases/list senden und eine Antwort mit sensiblen Informationen erhalten, einschließlich Schlüsseln, Token und Passwörtern.