CVE-2022-24904
Təsvir
Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. Argo CD-nin 0.7.0 versiyasından başlayaraq və 2.1.15, 2.2.9 və 2.3.4 versiyalarından əvvəlki versiyaları simvolik linklərin izlənilməsi (symlink following) xətasına qarşı həssasdır ki, bu da repozitoriyaya yazı girişi olan zərərli istifadəçiyə Argo CD-nin repo-server-indən həssas faylları sızdırmağa imkan verir. Directory tipli Application-da istifadə olunan (və ya istifadə edilə bilən) bir repozitoriya üçün yazı girişinə malik zərərli Argo CD istifadəçisi, sərhədlərdən kənar fayla yönəlmiş simvolik link commit edə bilər. Sızdırıla bilən həssas fayllara digər Application-ların mənbə repozitoriyalarındakı manifest faylları (dekripsiya plagini istifadə etmisinizsə, potensial olaraq dekripsiya edilmiş fayllar) və ya repo-server-də fayl kimi montaj edilmiş hər hansı JSON formatlı secret-lar daxildir. Bu zəiflik üçün düzəliş Argo CD-nin 2.3.4, 2.2.9 və 2.1.15 versiyalarında dərc edilmişdir. 2.3.0 və ya daha yuxarı versiyalardan istifadə edən və heç bir Jsonnet/directory tipli Application-ı olmayan istifadəçilər müvəqqəti həll yolu kimi Jsonnet/directory konfiqurasiya idarəetmə alətini deaktiv edə bilərlər.
Necə düzəltmək olar
- argoproj argo_cd2.1.15, 2.2.9, 2.3.4 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v22.1.15, 2.2.9, 2.3.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_cd | 0.7.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.9, 2.3.0 ≤ v < 2.3.4 | 2.1.15, 2.2.9, 2.3.4 |
| github.com/argoproj/argo-cd/v2Go | v < 2.1.15, 2.2.0 ≤ v < 2.2.9, 2.3.0 ≤ v < 2.3.4 | 2.1.15, 2.2.9, 2.3.4 |
| github.com/argoproj/argo-cdGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.