CVE-2023-23947
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.3.0-rc1 ile başlayan ve 2.3.17, 2.4.23, 2.5.11 ve 2.6.2 versiyonlarından önceki tüm Argo CD sürümleri, en az bir cluster secret'ı güncelleme yetkisine sahip kullanıcıların herhangi bir cluster secret'ını güncellemesine izin veren hatalı bir yetkilendirme açığına sahiptir. Saldırgan bu erişimi, yetki yükseltmek (potansiyel olarak Kubernetes kaynaklarını kontrol etmek) veya Argo CD işlevselliğini bozmak (harici cluster bağlantılarını engelleyerek) için kullanabilir. Bu güvenlik açığı için Argo CD 2.6.2, 2.5.11, 2.4.23 ve 2.3.17 sürümlerinde bir yama yayınlanmıştır. İki geçici çözüm mevcuttur: Ya RBAC yapılandırmasını değiştirerek tüm `clusters, update` erişimlerini tamamen kaldırın ya da `namespaces` ve `clusterResources` alanlarına benzer kısıtlamalar uygulamak için `destinations` ve `clusterResourceWhitelist` alanlarını kullanın.
Nasıl düzeltilir
- argoproj argo_cd2.3.17, 2.4.23, 2.5.11, 2.6.2 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd2.3.17, 2.4.23, 2.5.11, 2.6.2 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.3.17, 2.4.23, 2.5.11, 2.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.3.0 ≤ v < 2.3.17, 2.4.0 ≤ v < 2.4.23, 2.5.0 ≤ v < 2.5.11, 2.6.0 ≤ v < 2.6.2 | 2.3.17, 2.4.23, 2.5.11, 2.6.2 |
| github.com/argoproj/argo-cdGo | 2.3.0 ≤ v < 2.3.17, 2.4.0 ≤ v < 2.4.23, 2.5.0 ≤ v < 2.5.11, 2.6.0 ≤ v < 2.6.2, Aralık belirtilmemiş | 2.3.17, 2.4.23, 2.5.11, 2.6.2 |
| github.com/argoproj/argo-cd/v2Go | 2.3.0 ≤ v < 2.3.17, 2.4.0 ≤ v < 2.4.23, 2.5.0 ≤ v < 2.5.11, 2.6.0 ≤ v < 2.6.2 | 2.3.17, 2.4.23, 2.5.11, 2.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.