CVE-2025-14269

Un problème de sécurité a été découvert dans la version intégrée au cluster de Headlamp, où des utilisateurs non authentifiés peuvent réutiliser des informations d'identification mises en cache pour accéder aux fonctionnalités de Helm via l'interface utilisateur de Headlamp. Les clusters Kubernetes ne sont affectés que si Headlamp est installé, configuré avec config.enableHelm: true et qu'un utilisateur autorisé a déjà accédé aux fonctionnalités de Helm.

PoC

• Installer Headlamp version <= v0.38.0
• Configuré avec config.enableHelm: true
• L'utilisateur connecté doit ouvrir la page Helm (/clusters/main/helm/releases/list), après quoi la réponse sera mise en cache
• Ensuite, un utilisateur non authentifié peut également envoyer une requête à /clusters/main/helm/releases/list et recevoir une réponse contenant des informations sensibles, notamment des clés, des jetons et des mots de passe.