🇰🇷 한글 설명
Argo CD v0.7.0 이상 버전에서 제어되지 않는 메모리 소비로 인해 서비스가 중단될 수 있는 취약점이 발견되었습니다. 권한이 있는 공격자가 대용량 파일이 포함된 저장소를 통해 repo-server 서비스를 충돌시켜 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 아주 큰 파일을 올려서 서버의 메모리를 모두 써버리게 만드는 공격입니다. 이로 인해 Argo CD 서비스가 멈춰서 정상적인 배포 작업을 할 수 없게 됩니다.
🇺🇸 원문 (English)
Argo CD is a declarative continuous deployment for Kubernetes. Argo CD versions v0.7.0 and later are vulnerable to an uncontrolled memory consumption bug, allowing an authorized malicious user to crash the repo-server service, resulting in a Denial of Service. The attacker must be an authenticated Argo CD user authorized to deploy Applications from a repository which contains (or can be made to contain) a large file. The fix for this vulnerability is available in versions 2.3.5, 2.2.10, 2.1.16, and later. There are no known workarounds. Users are recommended to upgrade.
📍 영향받는 시스템
Argo CD v0.7.0 및 이후 버전 (단, 2.3.5, 2.2.10, 2.1.16 이상 버전은 제외)
⚔️ 공격 벡터
인증된 사용자가 대용량 파일이 포함된 저장소를 배포하도록 설정하여 repo-server의 메모리 고갈 유도
🛡️ 대응 방법
Argo CD를 최신 보안 패치가 적용된 버전(2.3.5, 2.2.10, 2.1.16 이상)으로 업그레이드
🔧 검증 코드
명령어 실행 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인합니다.
argocd version --client | grep -E 'v(2.3.5|2.2.10|2.1.16)'