CVE-2022-24904
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. Argo CD'nin 0.7.0 sürümüyle başlayan ve 2.1.15, 2.2.9 ile 2.3.4 sürümlerinden önceki versiyonları, depo yazma erişimine sahip kötü niyetli bir kullanıcının Argo CD'nin repo-server bileşeninden hassas dosyaları sızdırmasına izin veren bir sembolik bağlantı takip etme (symlink following) hatasına karşı savunmasızdır. Dizin tipi bir Application içinde kullanılan (veya kullanılabilecek olan) bir depoda yazma erişimi bulunan kötü niyetli bir Argo CD kullanıcısı, sınır dışındaki bir dosyayı işaret eden bir sembolik bağlantı gönderebilir. Sızdırılabilecek hassas dosyalar arasında diğer Uygulamaların kaynak depolarındaki manifest dosyaları (bir şifre çözme eklentisi kullanılıyorsa potansiyel olarak şifresi çözülmüş dosyalar) veya repo-server üzerinde dosya olarak bağlanmış herhangi bir JSON formatlı secret yer alabilir. Bu güvenlik açığına yönelik yama Argo CD 2.3.4, 2.2.9 ve 2.1.15 sürümlerinde yayınlanmıştır. Herhangi bir Jsonnet/dizin tipi Application kullanmayan 2.3.0 veya üzeri sürüm kullanıcıları, geçici bir çözüm olarak Jsonnet/dizin yapılandırma yönetim aracını devre dışı bırakabilirler.
Nasıl düzeltilir
- argoproj argo_cd2.1.15, 2.2.9, 2.3.4 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.1.15, 2.2.9, 2.3.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 0.7.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.9, 2.3.0 ≤ v < 2.3.4 | 2.1.15, 2.2.9, 2.3.4 |
| github.com/argoproj/argo-cd/v2Go | v < 2.1.15, 2.2.0 ≤ v < 2.2.9, 2.3.0 ≤ v < 2.3.4 | 2.1.15, 2.2.9, 2.3.4 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.