---

📍 Resumo do Relatório

Campo	Detalhes
Tipo de Relatório	Relatório de Avaliação de Vulnerabilidade
Contexto do Engajamento	Pesquisa em Segurança
Foco Principal	Segurança de Aplicações
Público-Alvo	Equipes de segurança, equipes de engenharia, gerentes de contratação
Estilo de Saída	Resumo executivo, análise técnica, impacto nos negócios, roteiro de remediação
Estado da Publicação	Sanitizado para revisão pública em portfólio

[!IMPORTANT] Este relatório foi intencionalmente sanitizado para publicação pública no GitHub. Identificadores sensíveis, credenciais, valores de infraestrutura e evidências específicas do cliente foram substituídos por placeholders claros.

🧭 Navegação Rápida

• Resumo Executivo
• Análise Técnica
• Impacto
• Remediação
• Lições Aprendidas e Estratégia de Mitigação

[!TIP] Para uma revisão rápida, comece com as seções Resumo Executivo e Impacto. Para profundidade técnica, prossiga para Análise Técnica e Remediação.

🏷️ Título

CVE-2026-35204 - Escrita Arbitrária de Arquivos por Path Traversal em Plugin do Helm

---

🧾 Resumo Executivo

Uma vulnerabilidade de segurança no Helm (gerenciador de pacotes Kubernetes) permite a escrita de arquivos em locais arbitrários do sistema de arquivos ao instalar ou atualizar um plugin Helm (Helm Plugin) criado especialmente. A vulnerabilidade decorre da verificação insuficiente de caminhos no arquivo plugin.yaml do plugin.

Um atacante pode criar um plugin Helm malicioso contendo um arquivo plugin.yaml com um caminho de travessia (../) no campo de caminho, resultando na escrita de arquivos fora do diretório destinado ao plugin. Isso pode levar à execução arbitrária de comandos ao escrever arquivos em locais sensíveis como ~/.bashrc, /etc/systemd/ ou arquivos hooks do Helm.

Elemento	Detalhes
CVE	CVE-2026-35204
CVSS v3.1	8.6 (Alto)
Vetor	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
Tipo	Path Traversal (CWE-22) / Escrita Arbitrária de Arquivos
Produto	Helm (Gerenciador de Pacotes Kubernetes)
Versões Afetadas	De 4.0.0 a 4.1.3
Versão Corrigida	4.1.4+
Impacto	Escrita de arquivos arbitrários → Execução de comandos

Atributo	Valor
Identificador	CVE-2026-35204
CVSS / Severidade	8.6
Classe de Fraqueza	CWE-22 / Escrita Arbitrária de Arquivos
Escopo Afetado	De 4.0.0 a 4.1.3
Versão Corrigida	4.1.4+

---

🔬 Análise Técnica

A fraqueza foi avaliada sob a perspectiva de segurança de aplicações e risco de infraestrutura. O problema central é classificado como Path Traversal e foi documentado de forma sanitizada, adequada para publicação pública em portfólio.

Helm é o gerenciador de pacotes oficial do Kubernetes, usado para instalar e gerenciar aplicações empacotadas como Charts. O Helm suporta um sistema de plugins para estender suas funcionalidades.

---

📊 Impacto

• Acesso ou modificação não autorizada de arquivos fora do perímetro pretendido da aplicação.
• Exposição de dados de configuração, credenciais e possível encadeamento que viabiliza execução de comandos.

---

🛠️ Remediação

Ação	Prioridade	Descrição
Atualizar Helm	🟢 Imediata	Atualizar para Helm 4.1.4 ou superior
Auditar Plugins	🟡 Importante	Revisar quaisquer plugins já instalados em busca de Path Traversal
Não Instalar Plugins Não Confiáveis	🟡 Importante	Usar apenas plugins de fontes confiáveis
Revisar plugin.yaml	🟡 Importante	Inspecionar o arquivo plugin.yaml de qualquer plugin antes de instalá-lo
Limitar Privilégios	🔵 Contínua	Executar Helm com o menor privilégio possível

---

🧠 Lições Aprendidas e Estratégia de Mitigação

• Trate cada fronteira de integração como não confiável, especialmente quando a lógica da aplicação encaminha valores controlados pelo usuário para sistemas de arquivos, shells, interpretadores ou ferramentas externas.
• As revisões de segurança devem validar a cadeia de exploração completa, não apenas o primeiro ponto vulnerável; configurações incorretas de baixa severidade podem se tornar críticas quando encadeadas.
• A documentação voltada ao público deve descrever risco, causa raiz e remediação sem expor identificadores operacionais, credenciais ou artefatos de exploração reutilizáveis.
• Os controles defensivos devem combinar validação preventiva, privilégio mínimo em tempo de execução, telemetria e governança de patches para reduzir tanto a exploração quanto o raio de impacto.

---

🧼 Notas de Sanitização para Publicação

• Identificadores sensíveis de infraestrutura, endereços IP, nomes de host, credenciais, hashes e endereços de e-mail foram substituídos por placeholders explícitos.
• Evidências operacionais reutilizáveis foram minimizadas ou abstraídas para manter o documento adequado para publicação pública no GitHub.
• O documento utiliza uma estrutura no estilo consultor, alinhada com práticas comuns de relatórios de testes de segurança web, como as expectativas de relatório do OWASP WSTG.

---