🇰🇷 한글 설명
Argo CD의 v0.11.0 이후 모든 버전에서 SSO 로그인 시 OAuth2/OIDC 흐름의 매개변수가 충분히 무작위적이지 않아 발생하는 취약점입니다. 예측 가능한 시드 값을 사용하는 의사 난수 생성기 문제로 인해 공격자가 관리자 권한을 탈취할 위험이 있습니다.
💡 쉬운 설명
로그인 과정에서 사용하는 보안 암호가 예측하기 쉬운 방식으로 만들어져 발생하는 문제입니다. 이를 통해 해커가 관리자 권한을 가로채 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. All versions of Argo CD starting with v0.11.0 are vulnerable to a variety of attacks when an SSO login is initiated from the Argo CD CLI or UI. The vulnerabilities are due to the use of insufficiently random values in parameters in Oauth2/OIDC login flows. In each case, using a relatively-predictable (time-based) seed in a non-cryptographically-secure pseudo-random number generator made the parameter less random than required by the relevant spec or by general best practices. In some cases, using too short a value made the entropy even less sufficient. The attacks on login flows which are meant to be mitigated by these parameters are difficult to accomplish but can have a high impact potentially granting an attacker admin access to Argo CD. Patches for this vulnerability has been released in the following Argo CD versions: v2.4.1, v2.3.5, v2.2.10 and v2.1.16. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Argo CD v0.11.0 이상 버전 (v2.4.1, v2.3.5, v2.2.10, v2.1.16 미만 버전)
⚔️ 공격 벡터
OAuth2/OIDC 로그인 흐름 중 예측 가능한 난수 값을 이용한 세션 탈취 및 관리자 권한 획득
🛡️ 대응 방법
Argo CD를 패치된 버전(v2.4.1, v2.3.5, v2.2.10, v2.1.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Argo CD의 버전을 확인하여 패치된 버전(v2.4.1, v2.3.5, v2.2.10, v2.1.16 등)보다 낮은지 확인합니다.
argocd version --client 2>/dev/null | grep -E 'argocd version' || kubectl get deployment argocd-server -n argocd -o jsonpath='{.spec.template.spec.containers[0].image}'