🇰🇷 한글 설명
Argo CD의 SSO 활성화 환경에서 로그인 화면의 오류 메시지를 조작할 수 있는 취약점이 발견되었습니다. 공격자는 특수하게 제작된 URL을 통해 피해자에게 가짜 메시지를 보여줄 수 있으나, 자바스크립트나 HTML 링크와 같은 능동적인 콘텐츠를 삽입하는 것은 불가능합니다.
💡 쉬운 설명
로그인 화면에 가짜 경고나 안내 문구를 띄워 사용자를 속일 수 있는 취약점입니다. 다만, 클릭 가능한 링크나 악성 코드를 직접 실행할 수는 없어 직접적인 해킹 위험은 낮습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. A vulnerability was found in Argo CD prior to versions 2.3.4, 2.2.9, and 2.1.15 that allows an attacker to spoof error messages on the login screen when single sign on (SSO) is enabled. In order to exploit this vulnerability, an attacker would have to trick the victim to visit a specially crafted URL which contains the message to be displayed. As far as the research of the Argo CD team concluded, it is not possible to specify any active content (e.g. Javascript) or other HTML fragments (e.g. clickable links) in the spoofed message. A patch for this vulnerability has been released in Argo CD versions 2.3.4, 2.2.9, and 2.1.15. There are currently no known workarounds.
📍 영향받는 시스템
Argo CD 2.3.4, 2.2.9, 2.1.15 미만 버전
⚔️ 공격 벡터
공격자가 조작된 메시지가 포함된 URL을 피해자에게 클릭하도록 유도하는 방식
🛡️ 대응 방법
Argo CD를 최신 패치 버전(2.3.4, 2.2.9 또는 2.1.15 이상)으로 업데이트
🔧 검증 코드
출력된 Argo CD 버전을 확인하여 취약점이 해결된 패치 버전 이상인지 확인합니다.
argocd version --short 2>/dev/null | grep -E 'argocd version'