🇰🇷 한글 설명
Argo CD의 특정 버전에서 프로젝트 수준의 권한을 가진 API 토큰이 민감한 저장소 자격 증명(사용자 이름, 비밀번호)을 탈취할 수 있는 취약점이 발견되었습니다. 이 문제는 표준 애플리케이션 관리 권한만 있는 토큰이나 프로젝트 조회 권한이 있는 모든 토큰에 영향을 미칩니다.
💡 쉬운 설명
권한이 낮은 사용자가 프로젝트 정보만 조회하려고 해도, 시스템에 저장된 중요한 비밀번호를 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 해커가 실제 코드 저장소에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. In versions 2.13.0 through 2.13.8, 2.14.0 through 2.14.15, 3.0.0 through 3.0.12 and 3.1.0-rc1 through 3.1.1, API tokens with project-level permissions are able to retrieve sensitive repository credentials (usernames, passwords) through the project details API endpoint, even when the token only has standard application management permissions and no explicit access to secrets. This vulnerability does not only affect project-level permissions. Any token with project get permissions is also vulnerable, including global permissions such as: `p, role/user, projects, get, *, allow`. This issue is fixed in versions 2.13.9, 2.14.16, 3.0.14 and 3.1.2.
📍 영향받는 시스템
Argo CD 2.13.0-2.13.8, 2.14.0-2.14.15, 3.0.0-3.0.12, 3.1.0-rc1-3.1.1
⚔️ 공격 벡터
프로젝트 상세 정보를 조회하는 API 엔드포인트를 통해 권한 밖의 저장소 자격 증명을 요청하여 탈취
🛡️ 대응 방법
Argo CD를 수정 버전인 2.13.9, 2.14.16, 3.0.14 또는 3.1.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위에 포함되는지 확인하십시오.
argocd version --client && argocd version --server | grep -E '2.13\[0-8\]|2.14\[0-15\]|3.0\[0-12\]|3.1.0-rc1|3.1.1'