🇰🇷 한글 설명
Argo CD의 모든 버전(v1.0.0 이상)에서 UI 내에 javascript: 링크를 삽입할 수 있는 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 삽입한 링크를 관리자가 클릭할 경우, 공격자는 관리자 권한을 탈취하여 Kubernetes 리소스를 생성, 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
해커가 만든 가짜 링크를 관리자가 클릭하면, 관리자의 권한을 그대로 이용해 시스템을 마음대로 조작할 수 있는 보안 결함입니다. 이를 통해 해커는 클러스터 내의 중요한 설정들을 삭제하거나 변경할 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. All versions of Argo CD starting with v1.0.0 are vulnerable to a cross-site scripting (XSS) bug allowing a malicious user to inject a `javascript:` link in the UI. When clicked by a victim user, the script will execute with the victim's permissions (up to and including admin). The script would be capable of doing anything which is possible in the UI or via the API, such as creating, modifying, and deleting Kubernetes resources. A patch for this vulnerability has been released in the following Argo CD versions: v2.4.1, v2.3.5, v2.2.10 and v2.1.16. There are no completely-safe workarounds besides upgrading.
📍 영향받는 시스템
Argo CD v1.0.0 이상의 모든 버전
⚔️ 공격 벡터
UI 내에 악성 javascript: 링크를 삽입한 후, 권한이 있는 사용자가 해당 링크를 클릭하도록 유도
🛡️ 대응 방법
Argo CD를 패치된 버전(v2.4.1, v2.3.5, v2.2.10, v2.1.16 이상)으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 패치된 버전(v2.4.1, v2.3.5, v2.2.10, v2.1.16)보다 낮은지 확인
argocd version --client | grep -E 'argocd-version'