CVE-2024-31989
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. Aynı kümedeki farklı bir ad alanında (namespace) bulunan yetkisiz bir podun, 6379 numaralı port üzerinden Redis sunucusuna bağlanabildiği tespit edilmiştir. EKS kümesine VPC CNI eklentisinin en güncel sürümü yüklenmiş olsa dahi, ağ politikalarının uygulanması için yapılandırma aracılığıyla manuel olarak etkinleştirilmesi gerekmektedir. Bu durum, birçok istemcinin Redis sunucularına farkında olmadan açık erişime sahip olabileceği endişesini doğurmaktadır. Bu güvenlik açığı, Redis örneği üzerinde sıkı erişim kontrollerine sahip olmayan herkesi etkileyerek, küme denetleyicisi seviyesinde Yetki Yükseltmeye veya bilgi sızıntısına yol açabilir. Bu sorun 2.8.19, 2.9.15 ve 2.10.10 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- argoproj argo_cd2.8.19, 2.9.15, 2.10.10, 2.11.1 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.8.19, 2.9.15, 2.10.10, 2.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | v < 2.8.19, 2.9.0 ≤ v < 2.9.15, 2.10.0 ≤ v < 2.10.10, 2.11.0 ≤ v < 2.11.1 | 2.8.19, 2.9.15, 2.10.10, 2.11.1 |
| github.com/argoproj/argo-cd/v2Go | v < 2.8.19, 2.9.0-rc1 ≤ v < 2.9.15, 2.10.0-rc1 ≤ v < 2.10.10, 2.11.0-rc1 ≤ v < 2.11.1 | 2.8.19, 2.9.15, 2.10.10, 2.11.1 |
| github.com/argoproj/argo-cdGo | v ≤ 1.8.7, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.