CVE-2023-50726
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. "Local sync", geliştiricilerin bir Uygulamanın manifestolarını geçici olarak yerel olarak tanımlanmış manifestolarla geçersiz kılmalarına olanak tanıyan bir Argo CD özelliğidir. Bu özellik, kullanıcının git üzerindeki tüm birleştirme korumalarını atlamasına izin verdiğinden, kullanımı genellikle yüksek düzeyde güvenilen kullanıcılarla sınırlandırılmalıdır. Hatalı bir doğrulama açığı, `create` yetkisine sahip ancak `override` yetkisine sahip olmayan kullanıcıların uygulama oluşturma sırasında yerel manifestoları senkronize etmelerine olanak tanır. AppProject kısıtlamaları da dahil olmak üzere diğer tüm kısıtlamalar uygulanmaya devam eder. Uygulanmayan tek kısıtlama, manifestoların onaylanmış bir git/Helm/OCI kaynağından gelmesi gerekliliğidir. Bu hata, yerel manifesto senkronizasyon özelliği eklendiğinde 1.2.0-rc1 sürümünde ortaya çıkmıştır. Hata; Argo CD 2.10.3, 2.9.8 ve 2.8.12 sürümlerinde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, `applications, create` RBAC erişimini kaldırarak dal koruma atlatma riskini azaltabilirler. RBAC erişimini kaldırmadan sorunu gidermenin tek yolu, yamalanmış bir sürüme yükseltmektir.
Nasıl düzeltilir
- argoproj argo_cd2.8.12, 2.9.7, 2.10.3 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.9.8, 2.10.3, 2.8.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 1.2.0 ≤ v < 2.8.12, 2.9.0 ≤ v < 2.9.7, 2.10.0 ≤ v < 2.10.3 | 2.8.12, 2.9.7, 2.10.3 |
| github.com/argoproj/argo-cdGo | 1.2.0-rc1 ≤ v ≤ 1.8.7, 1.2.0-rc1 ≤ v | — |
| github.com/argoproj/argo-cd/v2Go | 2.9.0 ≤ v < 2.9.8, 2.10.0 ≤ v < 2.10.3, 2.0.0-rc3 ≤ v < 2.8.12, 2.0.0 ≤ v < 2.8.12 | 2.9.8, 2.10.3, 2.8.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.