🇰🇷 한글 설명
Argo CD의 v2.6.0-rc1 이후 모든 버전에서 출력값 검증 미흡으로 인해 오류 메시지에 저장소 액세스 자격 증명이 노출되는 취약점이 발견되었습니다. 해당 오류 메시지는 API, UI, CLI를 통해 사용자에게 노출되며 로그에도 기록됩니다. 공격자는 애플리케이션 생성 또는 업데이트 권한을 이용해 의도적으로 오류를 유발하여 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
Argo CD를 사용할 때 실수나 의도적인 조작으로 에러가 발생하면, 비밀번호 같은 중요한 정보가 화면에 그대로 나타나는 문제입니다. 권한이 있는 사용자가 일부러 에러를 일으켜 다른 사람의 접속 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. All versions of Argo CD starting with v2.6.0-rc1 have an output sanitization bug which leaks repository access credentials in error messages. These error messages are visible to the user, and they are logged. The error message is visible when a user attempts to create or update an Application via the Argo CD API (and therefor the UI or CLI). The user must have `applications, create` or `applications, update` RBAC access to reach the code which may produce the error. The user is not guaranteed to be able to trigger the error message. They may attempt to spam the API with requests to trigger a rate limit error from the upstream repository. If the user has `repositories, update` access, they may edit an existing repository to introduce a URL typo or otherwise force an error message. But if they have that level of access, they are probably intended to have access to the credentials anyway. A patch for this vulnerability has been released in version 2.6.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Argo CD v2.6.0-rc1 및 그 이후 버전 (v2.6.1 미만)
⚔️ 공격 벡터
애플리케이션 생성/업데이트 권한을 가진 사용자가 API 요청을 조작하거나 저장소 URL을 잘못 입력하여 에러 메시지를 유도함
🛡️ 대응 방법
Argo CD를 취약점이 해결된 버전인 v2.6.1 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Argo CD 버전을 확인하여 v2.6.1 미만인지 확인합니다.
argocd version --client 2>/dev/null | grep -E 'argocd version' || echo 'Check Argo CD installation path'