Argo CD 存在 csrf 漏洞
漏洞描述
Argo CD 是一个声明式的 GitOps 持续交付工具，用于在 Kubernetes 环境中进行应用程序的持续交付和部署管理。
受影响版本中，由于未对 argocd.argoproj.io 注释中的URL协议正确过滤，具有 ArgoCD 管理资源的写入权限的攻击者可在 UI 中注入 javascript: 链接。当受害用户点击时，脚本将以受害者的权限（包括管理员权限）执行，进而执行创建API、修改和删除 Kubernetes 资源等操作。
| 漏洞名称 | Argo CD 存在 csrf 漏洞 |
|---|---|
| 漏洞类型 | CSRF |
| 发现时间 | 2024-03-14 |
| 漏洞影响广度 | 广 |
| MPS编号 | MPS-foxv-68g9 |
| CVE编号 | CVE-2024-28175 |
| CNVD编号 | - |
影响范围
argo-cd@[1.0, 2.10.3)
argo-cd@[2.9.7, 2.9.8)
argo-cd@[2.8.11, 2.8.12)
github.com/argoproj/argo-cd/v2@[1.0, 2.10.3)
github.com/argoproj/argo-cd/v2@[2.9.7, 2.9.8)
github.com/argoproj/argo-cd/v2@[2.8.11, 2.8.12)
修复方案
将 argo-cd 升级至 2.9.8 及以上版本
将 argo-cd 升级至 2.8.12 及以上版本
将 github.com/argoproj/argo-cd/v2 升级至 2.10.3 及以上版本
使用 RBAC 限制用户对 Kubernetes 资源清单的写入权限
将 github.com/argoproj/argo-cd/v2 升级至 2.9.8 及以上版本
将组件 github.com/argoproj/argo-cd/v2 升级至 2.8.12 及以上版本
将 argo-cd 升级至 2.10.3 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-foxv-68g9
https://nvd.nist.gov/vuln/detail/CVE-2024-28175
https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71
https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387
免费情报订阅&代码安全检测
OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。
免费代码安全检测工具： https://www.murphysec.com/?src=osc
免费情报订阅： https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
