BDU:2024-02566 (CVE-2024-28175)

Уязвимость компонента Application Summary декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS)

Опубликовано: 2024-04-03

Описание

Уязвимость компонента Application Summary декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS) с помощью специально созданной ссылки

Затрагиваемое ПО и версии

Red Hat OpenShift GitOps (1.10)Red Hat OpenShift GitOps (1.11)Red Hat OpenShift GitOps (1.12)Argo CD (от 1.0.0 до 2.8.12)Argo CD (от 2.9.0 до 2.9.8)Argo CD (от 2.10.0 до 2.10.3)

Способ устранения

Использование рекомендаций:

Для Argo CD:
обновление программного средства до версий 2.10.3, 2.9.8, 2.8.12 и выше

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-28175

Оценка CVSS

Балл	9 — критическая опасность

Источники и патчи

https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71 https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387 https://access.redhat.com/security/cve/CVE-2024-28175 https://www.cybersecurity-help.cz/vdb/SB2024031428

Проверьте безопасность своего сайта и почты → Полная проверка домена