Argo CD是用于Kubernetes的声明性GitOps持续交付工具。Argo CD可在指定的目标环境中自动部署所需的应用程序状态，应用程序部署可以在Git提交时跟踪对分支，标签的更新，或固定到清单的特定版本。Argo CD支持的Kubernetes 配置清单包括helm charts、kustomize、Ksonnet、Plugin、YAML/json文件等。
近日，奇安信CERT监测到Argo CD官方发布Argo CD身份认证绕过漏洞(CVE-2023-22482)和Argo CD授权绕过漏洞(CVE-2023-22736)通告，攻击者可以利用CVE-2023-22482，使Argo CD的API接受某些无效令牌绕过身份认证从而访问Argo CD；利用CVE-2023-22736可在配置允许的命名空间之外部署应用程序。鉴于这些漏洞影响范围较大，建议客户尽快做好自查及防护。
漏洞名称 | Argo CD身份认证绕过漏洞 | ||
公开时间 | 2023-01-26 | 更新时间 | 2023-01-30 |
CVE编号 | CVE-2023-22482 | 其他编号 | QVD-2023-3001 |
威胁类型 | 身份认证绕过 | 技术类型 | 授权机制不正确 |
厂商 | Argo | 产品 | Argo CD |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
高危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
未发现 | 未发现 | 未发现 | 未公开 |
漏洞描述 | Argo CD 授权机制存在问题。Argo CD 在验证用户提供的令牌时，会验证该令牌是否由其配置的OIDC提供商签名，不会验证令牌中的 aud（受众）字段。若 Argo CD 配置的 OIDC 提供商也为其他受众提供服务（例如，文件存储服务），Argo CD 也会接受这种令牌。未经授权的远程攻击者可通过窃取这些有效令牌来绕过 Argo CD 身份认证。 | ||
影响版本 | 1.8.2 <= Argo CD <= 2.6.0-rc4 Argo CD v2.5.x <= v2.5.7 Argo CD v2.4.x <= v2.4.18 Argo CD v2.3.x <= v2.3.13 | ||
不受影响版本 | Argo CD >= 2.6.0-rc5 Argo CD v2.5.x >= v2.5.8 Argo CD v2.4.x >= v2.4.20 Argo CD v2.3.x >= v2.3.14 | ||
其他受影响组件 | 无 | ||
漏洞名称 | Argo CD授权绕过漏洞 | ||
公开时间 | 2023-01-26 | 更新时间 | 2023-01-30 |
CVE编号 | CVE-2023-22736 | 其他编号 | QVD-2023-3007 |
威胁类型 | 授权绕过 | 技术类型 | 未授权访问 |
厂商 | Argo | 产品 | Argo CD |
风险等级 | |||
奇安信CERT风险评级 | 风险等级 | ||
高危 | 蓝色（一般事件） | ||
现时威胁状态 | |||
POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
未发现 | 未发现 | 未发现 | 未公开 |
漏洞描述 | Argo CD 中存在授权绕过漏洞，当Argo CD的应用程序控制器启用分片时，拥有用户权限的远程攻击者利用此漏洞可以在配置允许的命名空间之外部署应用程序。 | ||
影响版本 | 2.5.0-rc1<= Argo CD <= 2.5.7 Argo CD 2.6.0-x <= 2.6.0-rc4 | ||
不受影响版本 | Argo CD 2.5.x >= 2.5.8 Argo CD 2.6.0-x >= 2.6.0-rc5 | ||
其他受影响组件 | 无 | ||
威胁评估
漏洞名称 | Argo CD身份认证绕过漏洞 | |||
CVE编号 | CVE-2023-22482 | 其他编号 | QVD-2023-3001 | |
CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 9.0 | |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | ||
网络 | 高 | |||
所需权限（PR） | 用户交互（UI） | |||
不需要 | 不需要 | |||
影响范围（S） | 机密性影响（C） | |||
改变 | 高 | |||
完整性影响（I） | 可用性影响（A） | |||
高 | 高 | |||
危害描述 | 未经身份认证的远程攻击者通过此漏洞可绕过身份认证获得用户权限。 | |||
漏洞名称 | Argo CD授权绕过漏洞 | |||
CVE编号 | CVE-2023-22736 | 其他编号 | QVD-2023-3007 | |
CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 8.5 | |
CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | ||
网络 | 高 | |||
所需权限（PR） | 用户交互（UI） | |||
低权限 | 不需要 | |||
影响范围（S） | 机密性影响（C） | |||
改变 | 高 | |||
完整性影响（I） | 可用性影响（A） | |||
高 | 高 | |||
危害描述 | 拥有用户权限的远程攻击者利用此漏洞可以在配置允许的命名空间之外部署应用程序。 | |||
处置建议
目前 Argo CD官方已发布安全版本修复这些漏洞，建议受影响用户尽快更新至对应的安全版本。
下载地址：
https://github.com/argoproj/argo-cd/releases
参考资料
[1]https://github.com/argoproj/argo-cd/security/advisories/GHSA-q9hr-j4rf-8fjc
[2]https://github.com/argoproj/argo-cd/security/advisories/GHSA-6p4m-hw2h-6gmw
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
