BDU:2024-05960

Уязвимость веб-терминала декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2024-08-01

Описание

Уязвимость веб-терминала декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Argo CD (от 2.11.0 до 2.11.7)Argo CD (от 2.10.0 до 2.10.16)Argo CD (от 2.6.0 до 2.9.21)

Способ устранения

Использование рекомендаций:
https://github.com/argoproj/argo-cd/commit/ef535230d8bd8ad7b18aab1ea1063e9751d348c4
https://github.com/argoproj/argo-cd/commit/e96f32d233504101ddac028a5bf8117433d333d6
https://github.com/argoproj/argo-cd/commit/05edb2a9ca48f0f10608c1b49fbb0cf7164f6476
https://github.com/argoproj/argo-cd/releases/tag/v2.9.21
https://github.com/argoproj/argo-cd/releases/tag/v2.10.16
https://github.com/argoproj/argo-cd/releases/tag/v2.11.7

Оценка CVSS

Балл	6.5 — средняя опасность

Источники и патчи

https://drive.google.com/file/d/1Fynj5Sho8Lf8CETqsNXZyPKlTDdmgJuN/view?usp=sharing https://github.com/argoproj/argo-cd/commit/05edb2a9ca48f0f10608c1b49fbb0cf7164f6476 https://github.com/argoproj/argo-cd/commit/e96f32d233504101ddac028a5bf8117433d333d6 https://github.com/argoproj/argo-cd/commit/ef535230d8bd8ad7b18aab1ea1063e9751d348c4 https://github.com/argoproj/argo-cd/security/advisories/GHSA-v8wx-v5jq-qhhw https://argo-cd.readthedocs.io/en/stable/operator-manual/web_based_terminal/#:~:text=4%2C%20Argo%20CD%20has%20a,This%20is%20a%20powerful%20privilege.https://vuldb.com/?id.272369

Проверьте безопасность своего сайта и почты → Полная проверка домена