CVE-2022-31034
Açıklama
Argo CD, Kubernetes için bildirimsel bir GitOps sürekli teslimat aracıdır. v0.11.0 ile başlayan tüm Argo CD sürümleri, Argo CD CLI veya UI üzerinden bir SSO oturum açma işlemi başlatıldığında çeşitli saldırılara karşı savunmasızdır. Güvenlik açıkları, Oauth2/OIDC oturum açma akışlarındaki parametrelerde yeterince rastgele olmayan değerlerin kullanılmasından kaynaklanmaktadır. Her durumda, kriptografik olarak güvenli olmayan bir sözde rastgele sayı üretecinde nispeten tahmin edilebilir (zamana dayalı) bir tohum kullanılması, parametreyi ilgili spesifikasyonun veya genel en iyi uygulamaların gerektirdiğinden daha az rastgele hale getirmiştir. Bazı durumlarda, çok kısa bir değer kullanılması entropiyi daha da yetersiz hale getirmiştir. Bu parametrelerle azaltılması amaçlanan oturum açma akışlarına yönelik saldırıların gerçekleştirilmesi zordur ancak potansiyel olarak bir saldırgana Argo CD üzerinde yönetici erişimi vererek yüksek etkiye sahip olabilir. Bu güvenlik açığına yönelik yamalar aşağıdaki Argo CD sürümlerinde yayımlanmıştır: v2.4.1, v2.3.5, v2.2.10 ve v2.1.16. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- argoproj argo_cd2.1.16 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd2.1.16 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.1.16, 2.2.10, 2.3.5, 2.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 0.11.0 ≤ v < 2.1.16, 2.2.9, 2.3.4, 2.4.0 | 2.1.16 |
| github.com/argoproj/argo-cdGo | 0.11.0 ≤ v < 2.1.16, 0.11.0 ≤ v | 2.1.16 |
| github.com/argoproj/argo-cd/v2Go | v < 2.1.16, 2.2.0 ≤ v < 2.2.10, 2.3.0 ≤ v < 2.3.5, 2.4.0 ≤ v < 2.4.1 | 2.1.16, 2.2.10, 2.3.5, 2.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.