🇰🇷 한글 설명
Argo CD의 특정 버전에서 PostDelete 리소스 후크 생성 시 AppProject의 목적지 및 리소스 권한 확인 절차가 누락되는 취약점이 발견되었습니다. Git 저장소에 쓰기 권한이 있는 공격자는 허용되지 않은 네임스페이스나 클러스터 범위의 리소스를 삭제 후크로 설정하여 컨트롤러의 권한을 탈취할 수 있습니다.
💡 쉬운 설명
Argo CD를 사용할 때, 삭제 작업 직후 실행되는 명령어가 보안 검사를 건너뛰는 문제가 있습니다. 이를 통해 공격자가 권한이 없는 영역에 위험한 명령을 실행하거나 리소스를 생성할 수 있습니다.
🇺🇸 원문 (English)
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.10.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Argo CD creates PostDelete resource hooks without applying the AppProject destination and resource authorization checks used during ordinary synchronization. The omitted checks include cluster-scoped and namespaced resource allow/deny lists. A user who can write to an Application's Git repository can commit a delete hook targeting a forbidden namespace, server, group, kind, or resource name, and deletion of the Application causes the application-controller to create that resource with its destination-cluster credentials. The reachable impact is bounded by the controller's cluster access but can include cluster-scoped resources, disallowed namespaces, persistent hook objects, and secondary objects created by a hook Job. PreSync, Sync, PostSync, and SyncFail hooks continue to use the normal project checks. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2.
📍 영향받는 시스템
Argo CD 2.10.0 ~ 3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2
⚔️ 공격 벡터
애플리케이션의 Git 저장소에 권한이 없는 리소스를 생성하는 PostDelete 후크를 포함한 코드를 커밋하여 공격
🛡️ 대응 방법
Argo CD를 수정된 버전(3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 이상)으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 버전이 설치되어 있는 상태입니다.
argocd version --client | grep -E 'v(2.10\.|3.3\.(?!15)|3.4\.(?!10)|3.5\.(?!4)|3.6.0-rc2)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server