🇰🇷 한글 설명
Argo CD 2.3.0 이상 2.3.6 미만 및 2.4.5 미만 버전에서 SSO를 사용할 경우 /auth/callback 페이지에 임의의 자바스크립트를 삽입할 수 있는 XSS 취약점이 존재합니다. 공격자는 API 서버의 암호화 키를 탈취하고 피해자가 악성 링크를 방문하도록 유도하여 피해자를 사칭할 수 있습니다. 다만, 암호화 키 탈취가 선행되어야 하므로 위험도는 낮게 평가됩니다.
💡 쉬운 설명
로그인 기능을 사용하는 Argo CD에서 해커가 가짜 코드를 심어 사용자의 계정을 흉내 낼 수 있는 보안 약점이 발견되었습니다. 하지만 해커가 이미 시스템의 핵심 열쇠를 가지고 있어야 공격이 가능하기 때문에 위험도는 낮은 편입니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Argo CD starting with 2.3.0 and prior to 2.3.6 and 2.4.5 is vulnerable to a cross-site scripting (XSS) bug which could allow an attacker to inject arbitrary JavaScript in the `/auth/callback` page in a victim's browser. This vulnerability only affects Argo CD instances which have single sign on (SSO) enabled. The exploit also assumes the attacker has 1) access to the API server's encryption key, 2) a method to add a cookie to the victim's browser, and 3) the ability to convince the victim to visit a malicious `/auth/callback` link. The vulnerability is classified as low severity because access to the API server's encryption key already grants a high level of access. Exploiting the XSS would allow the attacker to impersonate the victim, but would not grant any privileges which the attacker could not otherwise gain using the encryption key. A patch for this vulnerability has been released in the following Argo CD versions 2.4.5 and 2.3.6. There is currently no known workaround.
📍 영향받는 시스템
Argo CD versions 2.3.0 to 2.3.5 and 2.4.0 to 2.4.4 (SSO enabled)
⚔️ 공격 벡터
API 서버 암호화 키 탈취 후 악성 /auth/callback 링크를 통한 XSS 공격
🛡️ 대응 방법
Argo CD를 2.3.6 또는 2.4.5 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.3.6 또는 2.4.5 이상인지 확인하여 취약 여부를 판단합니다.
argocd version --client 2>/dev/null | grep -E 'argocd version' || echo 'Check installed version manually'