CVE-2024-28175
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. Uygulama özet bileşenindeki `link.argocd.argoproj.io` anotasyonlarında belirtilen bağlantıların uygunsuz URL protokolü filtrelemesi nedeniyle, bir saldırgan yüksek yetkilerle siteler arası betik çalıştırma (XSS) gerçekleştirebilir. v1.0.0 ile başlayan Argo CD'nin yamalanmamış tüm sürümleri, kötü niyetli bir kullanıcının kullanıcı arayüzüne javascript: bağlantısı eklemesine izin veren bir siteler arası betik çalıştırma (XSS) açığına sahiptir. Bir kurban tarafından tıklandığında, betik kurbanın yetkileriyle (yönetici dahil) çalıştırılacaktır. Bu güvenlik açığı, bir saldırganın API üzerinden kurban adına Kubernetes kaynaklarını oluşturmak, değiştirmek ve silmek gibi rastgele işlemler gerçekleştirmesine olanak tanır. Bu açık için yama Argo CD v2.10.3, v2.9.8 ve v2.8.12 sürümlerinde yayınlanmıştır. Güncelleme dışında tamamen güvenli bir geçici çözüm bulunmamaktadır. Güncellemenin mümkün olmadığı durumlarda en güvenli alternatif, `link.argocd.argoproj.io` ile başlayan herhangi bir anotasyona sahip kaynakları reddeden veya değer uygunsuz bir URL protokolü kullanıyorsa kaynağı reddeden bir Kubernetes admission controller oluşturmaktır. Bu doğrulamanın ArgoCD tarafından yönetilen tüm kümelerde uygulanması gerekecektir.
Nasıl düzeltilir
- argoproj argo_cd2.8.12, 2.9.8, 2.10.3 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.9.8, 2.10.3, 2.8.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 1.0.0 ≤ v < 2.8.12, 2.9.0 ≤ v < 2.9.8, 2.10.0 ≤ v < 2.10.3 | 2.8.12, 2.9.8, 2.10.3 |
| github.com/argoproj/argo-cdGo | 1.0.0 ≤ v ≤ 1.8.7, 1.0.0 ≤ v | — |
| github.com/argoproj/argo-cd/v2Go | 2.9.0 ≤ v < 2.9.8, 2.10.0 ≤ v < 2.10.3, 2.0.0 ≤ v < 2.8.12 | 2.9.8, 2.10.3, 2.8.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.