Повідомлення про безпеку: заява щодо колишнього домену дзеркала APT Helm `baltocdn.com`

Команда безпеки Helm отримала повідомлення від сторонніх організацій про те, що права власності на колишній домен дзеркала APT Debian/Ubuntu, що підтримувався спільнотою, baltocdn.com, змінилися після закінчення терміну реєстрації оригінального домену baltocdn.com. У результаті нові власники можуть використовувати цей домен для розповсюдження шкідливого вмісту.

Ми публікуємо це повідомлення, щоб підвищити обізнаність користувачів Helm, які досі можуть мати в конфігурації свого менеджера пакунків APT посилання на baltocdn.com. Раніше baltocdn.com використовувався як дзеркало APT для розповсюдження Helm протягом багатьох років, але більше не є дзеркалом APT Helm і не повинен використовуватися для керування Helm.

Підсумок

Колишній домен дзеркала APT Helm baltocdn.com було виведено з експлуатації у вересні 2025 року. Після виведення з експлуатації спроби доступу або завантаження пакунків Helm з baltocdn.com мали б завершитися невдачею через припинення роботи базової інфраструктури.

Пізніше термін реєстрації домену baltocdn.com закінчився, і домен був повторно зареєстрований третьою стороною 19 травня 2026 року. У результаті користувачі, системи або автоматизація, які досі намагаються завантажити пакунки Helm з baltocdn.com, можуть бути спрямовані на вміст, контрольований новим реєстрантом домену.

Наразі команда безпеки Helm отримала повідомлення від сторонніх організацій про те, що домен міг бути переорієнтований для розповсюдження шкідливого вмісту. Ми не підтвердили ці повідомлення самостійно. Проте оскільки домен більше не контролюється попереднім оператором репозиторію APT і більше не є кінцевою точкою розповсюдження Helm, будь-яке подальше використання baltocdn.com становить потенційну загрозу ланцюга постачання.

Користувачі, яких це стосується

Ви можете бути під впливом, якщо будь-які системи на базі Debian або Ubuntu, репозиторії APT, завдання CI, образи контейнерів, сценарії встановлення, сценарії початкового завантаження, шаблони управління конфігурацією або внутрішня документація досі містять посилання на:

baltocdn.com

Будь-який користувач, який виконував двійкові файли, отримані з baltocdn.com, після 19 травня 2026 року, повинен вважати відповідну систему скомпрометованою та дотримуватися звичайних процедур реагування на інциденти.

Користувачі, які мають застарілі посилання на baltocdn.com, але не намагалися встановлювати або оновлювати Helm з цього домену після 19 травня 2026 року, все одно повинні негайно видалити ці посилання, дотримуючись наведених нижче кроків.

Виправлення

Будь ласка, переконайтеся, що всі установки Helm на базі APT для Debian/Ubuntu використовують поточний репозиторій APT:

https://packages.buildkite.com/helm-linux/helm-debian

Перегляньте свої системи та репозиторії на наявність будь-яких залишкових посилань на baltocdn.com і замініть їх на поточні інструкції зі встановлення.

Поточні інструкції зі встановлення Helm для APT доступні за посиланням нижче:

https://helm.sh/docs/intro/install/#from-apt-debianubuntu

Рекомендовані дії:

1. Видаліть будь-які записи джерел APT, які посилаються на baltocdn.com.
2. Оновіть конфігурацію встановлення Helm на базі APT для Debian/Ubuntu для використання packages.buildkite.com.
3. Перегляньте конвеєри CI/CD, Dockerfiles, сценарії початкового завантаження, управління конфігурацією та внутрішню документацію на наявність застарілих посилань.
4. Вважайте будь-яку систему, на якій було виконано двійкові файли, отримані з baltocdn.com, після 19 травня 2026 року, потенційно скомпрометованою.
5. Дотримуйтесь процесу реагування на інциденти вашої організації, якщо ви вважаєте, що система могла завантажити або виконати вміст із повторно зареєстрованого домену.
6. Заблокуйте доступ (корпоративний проксі/брандмауер тощо) до baltocdn.com. Оскільки сайт раніше було виведено з експлуатації та він більше не обслуговує вміст, пов'язаний із проектом Helm, обмеження доступу не порушить існуючих робочих процесів.

Про репозиторій APT Helm

Репозиторій APT Helm для Debian/Ubuntu репозиторій (та його попередник baltocdn.com) підтримується спільнотою з вдячністю. Він не підтримується безпосередньо супровідниками Helm.

Проєкт Helm надає офіційні методи встановлення Helm з бінарних релізів та за допомогою скрипта встановлення Helm. Методи встановлення через менеджери пакунків, надані спільнотою, включаючи APT, документовані для зручності користувачів, але не підтримуються безпосередньо проектом Helm.

Взаємодія зі спільнотою Helm

Проєкт Helm надає кілька способів взаємодії зі спільнотою, включаючи канали Slack та щотижневі зустрічі розробників. Члени команди безпеки Helm та супровідники присутні на цих форумах і разом із рештою спільноти можуть відповісти на запитання чи занепокоєння, пов'язані з проектом Helm.

Повідомлення про проблеми безпеки

Для отримання додаткової інформації про повідомлення про проблеми безпеки, повʼязані з проєктом Helm, див. процес та політику безпеки Helm:

https://helm.sh/community/security/

Висновок

baltocdn.com більше не є дзеркалом APT Helm і не повинен використовуватися для встановлення та керування Helm. Користувачі повинні перенести будь-які залишкові конфігурації встановлення Helm на базі APT для Debian/Ubuntu на packages.buildkite.com та переглянути свої середовища на наявність застарілих посилань на колишній домен, щоб зменшити потенційні загрози безпеці.