🇰🇷 한글 설명
Argo CD의 repo-server가 .jsonnet 파일을 처리할 때 import 경로를 저장소 루트로 제한하지 않는 취약점이 발견되었습니다. 공격자는 절대 경로, 상위 디렉토리 이동 또는 심볼릭 링크를 사용하여 서비스 계정 토큰, 개인 키, 자격 증명 등 시스템의 민감한 파일을 탈취하거나 메모리 고갈 공격을 수행할 수 있습니다.
💡 쉬운 설명
Argo CD가 설정 파일을 읽을 때 보안 경계가 제대로 설정되지 않아, 공격자가 허용되지 않은 시스템 내부 파일에 접근할 수 있는 문제입니다. 이를 통해 중요한 비밀번호나 인증 정보를 훔치거나 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 0.9.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, the repo-server evaluates .jsonnet files with an importer that does not confine import, importstr, or importbin to the repository root. Absolute paths, parent-directory traversal, and repository symlinks can open any file readable by the repo-server, including /proc/self/environ, projected service-account tokens, mounted private keys, and repository credentials. Although generated Secrets are redacted, placing imported contents in a ConfigMap returns the data to the caller. Using importstr on a non-terminating device such as /dev/zero can exhaust repo-server memory. An attacker can commit a .jsonnet file to a Git repository used by an Application or upload the file through POST /api/v1/applications/manifestsWithFiles, also exposed by argocd app diff --local --server-side-generate. Directory applications evaluate every .jsonnet file in the application directory. The upload path requires only Application get permission on an existing directory Application, without Application update or sync permission or repository write access. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2.
📍 영향받는 시스템
Argo CD 0.9.0 ~ 3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 미만 버전
⚔️ 공격 벡터
Git 저장소에 악성 .jsonnet 파일을 커밋하거나 API를 통해 파일을 업로드하여 경로 탐색 공격 수행
🛡️ 대응 방법
Argo CD를 수정된 버전(3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 이상)인지 확인
argocd version --client | grep -E 'argocd-version'