CVE-2024-31989
Təsvir
Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. Müəyyən edilmişdir ki, eyni klasterdə fərqli namespace-də yerləşən imtiyazsız pod 6379 portu vasitəsilə Redis serverinə qoşula bilər. EKS klasterində VPC CNI plagininin ən son versiyasının quraşdırılmasına baxmayaraq, şəbəkə siyasətlərini tətbiq etmək üçün konfiqurasiya vasitəsilə əllə aktivləşdirilməsi tələb olunur. Bu, bir çox müştərinin öz Redis serverlərinə fərqində olmadan açıq giriş imkanına malik ola biləcəyi ilə bağlı narahatlıq yaradır. Bu zəiflik, Redis instansiyasında ciddi giriş nəzarətinə malik olmayan hər kəsə təsir edərək, klaster kontrolleri səviyyəsinə qədər imtiyazların yüksəldilməsinə və ya məlumat sızmasına səbəb ola bilər. Bu problem 2.8.19, 2.9.15 və 2.10.10 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- argoproj argo_cd2.8.19, 2.9.15, 2.10.10, 2.11.1 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v22.8.19, 2.9.15, 2.10.10, 2.11.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_cd | v < 2.8.19, 2.9.0 ≤ v < 2.9.15, 2.10.0 ≤ v < 2.10.10, 2.11.0 ≤ v < 2.11.1 | 2.8.19, 2.9.15, 2.10.10, 2.11.1 |
| github.com/argoproj/argo-cd/v2Go | v < 2.8.19, 2.9.0-rc1 ≤ v < 2.9.15, 2.10.0-rc1 ≤ v < 2.10.10, 2.11.0-rc1 ≤ v < 2.11.1 | 2.8.19, 2.9.15, 2.10.10, 2.11.1 |
| github.com/argoproj/argo-cdGo | v ≤ 1.8.7, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.