🇰🇷 한글 설명
Argo CD의 ServerSideDiff 기능에서 Kubernetes Secret 값이 완전히 필터링되지 않는 취약점이 발견되었습니다. 이로 인해 kubectl.kubernetes.io/last-applied-configuration 어노테이션에 포함된 민감한 데이터, stringData 및 어노테이션이 UI나 CLI의 diff 결과에 노출될 수 있습니다.
💡 쉬운 설명
Argo CD를 사용할 때 설정 변경 사항을 비교하는 화면에서 비밀번호와 같은 중요한 보안 정보가 그대로 화면에 보일 수 있는 문제입니다. 공격자가 이 화면을 볼 수 있다면 시스템의 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 3.2.0 until 3.2.12, 3.3.10, and 3.4.2, Argo CD ServerSideDiff can expose Kubernetes Secret values embedded in the kubectl.kubernetes.io/last-applied-configuration annotation because HideSecretData(target, live, ...) does not fully sanitize ResourceDiff.TargetState and LiveState predicted live Secret objects, allowing sensitive data, stringData, and annotations to appear in UI or CLI diffs. This issue is fixed in versions 3.2.12, 3.3.10, and 3.4.2.
📍 영향받는 시스템
Argo CD versions 3.2.0 to 3.2.11, 3.3.1 to 3.3.9, and 3.4.0 to 3.4.1
⚔️ 공격 벡터
Argo CD UI 또는 CLI를 통해 리소스 차이(diff)를 조회하여 노출된 Secret 데이터를 확인
🛡️ 대응 방법
Argo CD를 최신 패치 버전인 3.2.12, 3.3.10 또는 3.4.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Argo CD 서버의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
argocd version --client | grep -E 'argocd-server' || kubectl get deployment argocd-server -n argocd -o jsonpath='{.spec.template.spec.containers[?(@.name==