🇰🇷 한글 설명
Argo CD의 ServerSideDiff 엔드포인트에서 권한 검증 및 데이터 마스킹이 누락되어, 읽기 전용 권한을 가진 공격자가 Kubernetes API 서버의 Server-Side Apply 드라이런 메커니즘을 통해 etcd의 평문 Kubernetes Secret 데이터를 추출할 수 있습니다. 3.2.0-3.2.10 및 3.3.0-3.3.8 버전이 영향을 받으며, 3.2.11과 3.3.9 버전에서 패치되었습니다.
💡 쉬운 설명
Argo CD 배포 도구에 보안 결함이 있어서 읽기만 가능한 권한을 가진 사용자도 Kubernetes의 중요한 비밀 데이터를 볼 수 있습니다. 조직의 중요한 인증정보나 비밀키가 노출될 수 있는 심각한 문제입니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From versions 3.2.0 to before 3.2.11 and 3.3.0 to before 3.3.9, there is a missing authorization and data-masking gap in Argo CD's ServerSideDiff endpoint that allows an attacker with read-only access to extract plaintext Kubernetes Secret data from etcd via the Kubernetes API server's Server-Side Apply dry-run mechanism. This issue has been patched in versions 3.2.11 and 3.3.9.
📍 영향받는 시스템
Argo CD 3.2.0-3.2.10, 3.3.0-3.3.8 (Kubernetes 클러스터에 배포된 환경)
⚔️ 공격 벡터
읽기 전용 권한을 가진 사용자가 ServerSideDiff API에 요청하여 Server-Side Apply 드라이런을 통해 Secret 데이터 추출
🛡️ 대응 방법
Argo CD를 3.2.11 이상 또는 3.3.9 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 3.2.0-3.2.10 또는 3.3.0-3.3.8이면 취약, 3.2.11 이상 또는 3.3.9 이상이면 안전함
argocd version 2>/dev/null | grep -oE 'v3\.[23]\.[0-9]+' | head -1