CVE-2022-31034
Təsvir
Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. Argo CD-nin v0.11.0 versiyasından başlayaraq bütün versiyaları, SSO giriş prosesi Argo CD CLI və ya UI vasitəsilə başladıldıqda müxtəlif hücumlar üçün həssasdır. Zəifliklər Oauth2/OIDC giriş axınlarındakı parametrlərdə kifayət qədər təsadüfi olmayan dəyərlərin istifadəsi ilə bağlıdır. Hər bir halda, kriptoqrafik cəhətdən təhlükəsiz olmayan psevdotəsadüfi ədəd generatorunda nisbətən proqnozlaşdırıla bilən (vaxta əsaslanan) toxumun (seed) istifadəsi, parametri müvafiq spesifikasiyanın və ya ümumi ən yaxşı təcrübələrin tələb etdiyindən daha az təsadüfi etmişdir. Bəzi hallarda çox qısa dəyərlərin istifadəsi entropiyanı daha da azaltmışdır. Bu parametrlər vasitəsilə qarşısı alınmalı olan giriş axınlarına yönəlmiş hücumları həyata keçirmək çətindir, lakin onlar yüksək təsir göstərə bilər və potensial olaraq hücumçuya Argo CD-də admin girişi təmin edə bilər. Bu zəiflik üçün yamalar aşağıdakı Argo CD versiyalarında dərc edilmişdir: v2.4.1, v2.3.5, v2.2.10 və v2.1.16. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.
Necə düzəltmək olar
- argoproj argo_cd2.1.16 və ya daha yeni versiya
- github.com/argoproj/argo-cd2.1.16 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v22.1.16, 2.2.10, 2.3.5, 2.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_cd | 0.11.0 ≤ v < 2.1.16, 2.2.9, 2.3.4, 2.4.0 | 2.1.16 |
| github.com/argoproj/argo-cdGo | 0.11.0 ≤ v < 2.1.16, 0.11.0 ≤ v | 2.1.16 |
| github.com/argoproj/argo-cd/v2Go | v < 2.1.16, 2.2.0 ≤ v < 2.2.10, 2.3.0 ≤ v < 2.3.5, 2.4.0 ≤ v < 2.4.1 | 2.1.16, 2.2.10, 2.3.5, 2.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.