Argo CD 存在 csrf 漏洞

来源: 投稿
2024-03-15 15:25:00

漏洞描述

Argo CD 是一个声明式的 GitOps 持续交付工具,用于在 Kubernetes 环境中进行应用程序的持续交付和部署管理。

受影响版本中,由于未对 argocd.argoproj.io 注释中的URL协议正确过滤,具有 ArgoCD 管理资源的写入权限的攻击者可在 UI 中注入 javascript: 链接。当受害用户点击时,脚本将以受害者的权限(包括管理员权限)执行,进而执行创建API、修改和删除 Kubernetes 资源等操作。

漏洞名称 Argo CD 存在 csrf 漏洞
漏洞类型 CSRF
发现时间 2024-03-14
漏洞影响广度 广
MPS编号 MPS-foxv-68g9
CVE编号 CVE-2024-28175
CNVD编号 -

影响范围

argo-cd@[1.0, 2.10.3)

argo-cd@[2.9.7, 2.9.8)

argo-cd@[2.8.11, 2.8.12)

github.com/argoproj/argo-cd/v2@[1.0, 2.10.3)

github.com/argoproj/argo-cd/v2@[2.9.7, 2.9.8)

github.com/argoproj/argo-cd/v2@[2.8.11, 2.8.12)

修复方案

将 argo-cd 升级至 2.9.8 及以上版本

将 argo-cd 升级至 2.8.12 及以上版本

将 github.com/argoproj/argo-cd/v2 升级至 2.10.3 及以上版本

使用 RBAC 限制用户对 Kubernetes 资源清单的写入权限

将 github.com/argoproj/argo-cd/v2 升级至 2.9.8 及以上版本

将组件 github.com/argoproj/argo-cd/v2 升级至 2.8.12 及以上版本

将 argo-cd 升级至 2.10.3 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-foxv-68g9

https://nvd.nist.gov/vuln/detail/CVE-2024-28175

https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71

https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387

    

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区,社区联合开发者帮助全球顶级开源项目解决安全问题,并提供实时的安全漏洞情报,同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具: https://www.murphysec.com/?src=osc

免费情报订阅: https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见: https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

展开阅读全文
点击引领话题📣 发布并加入讨论🔥
0 评论
2 收藏
分享
返回顶部
顶部