CVE-2022-29165
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. Argo CD'nin 1.4.0 sürümüyle başlayan ve 2.1.15, 2.2.9 ile 2.3.4 sürümlerinden önceki versiyonlarında; kimliği doğrulanmamış kullanıcıların, isteklerle birlikte özel olarak hazırlanmış bir JSON Web Token (JWT) göndererek `admin` kullanıcısı da dahil olmak üzere herhangi bir Argo CD kullanıcısını veya rolünü taklit etmesine olanak tanıyan kritik bir güvenlik açığı keşfedilmiştir. Bu zafiyetin istismar edilebilmesi için Argo CD örneğine anonim erişimin etkinleştirilmiş olması gerekir. Varsayılan bir Argo CD kurulumunda anonim erişim devre dışıdır. Zafiyet, yerleşik `admin` hesabı etkin olsa da olmasa da, herhangi bir kullanıcıyı veya rolü taklit etmek için istismar edilebilir. Ayrıca saldırganın bunu gerçekleştirmek için Argo CD örneğinde bir hesaba sahip olması gerekmez. Örneğe anonim erişim etkinse, bir saldırgan yetkilerini yükseltebilir ve bu durum etkili bir şekilde kümede, varsayılan kurulumda cluster admin olan Argo CD örneği ile aynı yetkilere sahip olmasını sağlar. Bu, saldırganın kümedeki herhangi bir kaynağı oluşturmasına, manipüle etmesine ve silmesine olanak tanır. Ayrıca, yüksek yetkilerle kötü amaçlı iş yükleri dağıtarak verileri sızdırabilirler ve böylece Argo CD API tarafından uygulanan hassas veri gizleme işlemlerini atlayabilirler. Bu zafiyet için Argo CD 2.3.4, 2.2.9 ve 2.1.15 sürümlerinde bir yama yayınlanmıştır. Geçici bir çözüm olarak anonim erişim devre dışı bırakılabilir ancak yamalanmış bir sürüme yükseltme yapılması tercih edilir.
Nasıl düzeltilir
- argoproj argo_cd2.1.15, 2.2.9, 2.3.4 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.3.4, 2.2.9, 2.1.15 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd2.1.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 1.4.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.9, 2.3.0 ≤ v < 2.3.4 | 2.1.15, 2.2.9, 2.3.4 |
| github.com/argoproj/argo-cd/v2Go | 2.3.0 ≤ v < 2.3.4, 2.2.0 ≤ v < 2.2.9, v < 2.1.15 | 2.3.4, 2.2.9, 2.1.15 |
| github.com/argoproj/argo-cdGo | v < 2.1.15, Aralık belirtilmemiş | 2.1.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.