【漏洞预警】Argo CD 存在 CSRF 漏洞(CVE-2024-22259)

cexlife 飓风网络安全 2024-03-15 17:50

漏洞描述:Argo CD 是一个声明式的 GitOps 持续交付工具，用于在 Kubernetes 环境中进行应用程序的持续交付和部署管理,受影响版本中由于未对argocd.argoproj.io 注释中的URL协议正确过滤,具有ArgoCD管理资源的写入权限的攻击者可在UI中注入 javascript: 链接。当受害用户点击时，脚本将以受害者的权限（包括管理员权限）执行，进而执行创建API、修改和删除 Kubernetes 资源等操作。

影响范围:argo-cd[1.0, 2.10.3)argo-cd[2.9.7, 2.9.8)argo-cd[2.8.11, 2.8.12)github.com/argoproj/argo-cd/v2[1.0, 2.10.3)github.com/argoproj/argo-cd/v2[2.9.7, 2.9.8)github.com/argoproj/argo-cd/v2[2.8.11, 2.8.12)修复方案:将argo-cd升级至2.10.3及以上版本将argo-cd升级至2.9.8及以上版本将argo-cd升级至2.8.12及以上版本将github.com/argoproj/argo-cd/v2 升级至 2.10.3 及以上版本使用RBAC 限制用户对 Kubernetes 资源清单的写入权限将github.com/argoproj/argo-cd/v2 升级至 2.9.8 及以上版本将组件 github.com/argoproj/argo-cd/v2 升级至 2.8.12 及以上版本参考链接:https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387