CVE-2023-22736

Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. 2.5.0-rc1 və daha yuxarı versiyalardan başlayaraq 2.5.8-ə qədər olan versiyalar və həmçinin 2.6.0-rc4 versiyası, bədniyyətli Argo CD istifadəçisinə konfiqurasiya edilmiş icazəli namespace-lərdən kənarda Application-lar yerləşdirməyə imkan verən autentifikasiyadan yan keçmə xətasına qarşı həssasdır. Uzlaşdırılmış Application namespace-ləri vergüllə ayrılmış glob şablonları siyahısı kimi təyin edilir. Application kontrollerində sharding aktiv edildikdə, o, Application-ları uzlaşdırarkən bu şablonlar siyahısını tətbiq etmir. Məsələn, əgər Application namespace-ləri argocd-* olaraq konfiqurasiya edilibsə, Application kontrolleri "other" adlı namespace-də quraşdırılmış bir Application-ı, adı argocd- ilə başlamasa belə, uzlaşdıra bilər. Hüdudlardan kənar Application-ın uzlaşdırılması yalnız Application yeniləndikdə tetiklənir, buna görə də hücumçu Application resursu üzərində yeniləmə əməliyyatını həyata keçirə bilməlidir. Bu xəta yalnız argocd-cmd-params-cm ConfigMap-də `application.namespaces` parametrini təyin etməklə və ya Application kontrolleri və API server komponentlərində `--application-namespaces` bayraqlarını qurmaqla "apps-in-any-namespace" funksiyasını açıq şəkildə aktivləşdirmiş istifadəçilərə şamil edilir. Bu Təhlükəsizlik Xəbərdarlığının dərc edildiyi tarixə etibarən apps-in-any-namespace funksiyası beta mərhələsindədir. Xəta həmçinin Application kontrolleri üçün `replicas` sayının artırılması ilə sharding-in aktiv edildiyi Argo CD instansiyaları ilə məhdudlaşır. Nəhayət, AppProjects-un `sourceNamespaces` sahəsi bu eksployta qarşı ikincili yoxlama rolunu oynayır. Hüdudlardan kənar namespace-dəki Application-ın uzlaşdırılmasına səbəb olmaq üçün həmin namespace-də Application-lara icazə verən bir AppProject mövcud olmalıdır. Bu zəiflik üçün yamalar 2.5.8 və 2.6.0-rc5 versiyalarında dərc edilmişdir. Müvəqqəti həll yolu kimi, Application kontrollerinin yalnız bir replikasını işlətmək bu xətanın istismar edilməsinin qarşısını alacaq. Bütün AppProjects-un sourceNamespaces sahələrinin konfiqurasiya edilmiş Application namespace-ləri daxilində məhdudlaşdırıldığından əmin olmaq da bu xətanın istismar edilməsinin qarşısını alacaqdır.