漏洞描述

Argo CD 是一个声明式的 GitOps 持续交付工具，用于在 Kubernetes 环境中进行应用程序的持续交付和部署管理。

受影响版本中，由于未对 argocd.argoproj.io 注释中的URL协议正确过滤，具有 ArgoCD 管理资源的写入权限的攻击者可在 UI 中注入 javascript: 链接。当受害用户点击时，脚本将以受害者的权限（包括管理员权限）执行，进而执行创建API、修改和删除 Kubernetes 资源等操作。

影响范围

argo-cd@[1.0, 2.10.3)

argo-cd@[2.9.7, 2.9.8)

argo-cd@[2.8.11, 2.8.12)

github.com/argoproj/argo-cd/v2@[1.0, 2.10.3)

github.com/argoproj/argo-cd/v2@[2.9.7, 2.9.8)

github.com/argoproj/argo-cd/v2@[2.8.11, 2.8.12)

修复方案

将 argo-cd 升级至 2.9.8 及以上版本

将 argo-cd 升级至 2.8.12 及以上版本

将 github.com/argoproj/argo-cd/v2 升级至 2.10.3 及以上版本

使用 RBAC 限制用户对 Kubernetes 资源清单的写入权限

将 github.com/argoproj/argo-cd/v2 升级至 2.9.8 及以上版本

将组件 github.com/argoproj/argo-cd/v2 升级至 2.8.12 及以上版本

将 argo-cd 升级至 2.10.3 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-foxv-68g9

https://nvd.nist.gov/vuln/detail/CVE-2024-28175

https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71

https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc