PT-2022-16632 · Unknown+2 · Kubernetes+2

Moshe Zioni

·

Publicado

2022-02-04

·

Atualizado

2026-05-27

·

CVE-2022-24348

CVSS v3.1

7.7

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Argo CD anteriores à 2.1.9
Versões 2.2.x do Argo CD anteriores à 2.2.4
Descrição
A vulnerabilidade permite a traversal de diretórios relacionada a Helm charts devido a um erro no helmTemplate em repository.go. Isso poderia permitir que um invasor descobrisse credenciais armazenadas em um arquivo YAML. A vulnerabilidade pode ser usada para roubar informações confidenciais de implantações do Argo CD, incluindo segredos, senhas e chaves de API de aplicativos Kubernetes. Ela afeta milhares de organizações globalmente e pode permitir que hackers roubem informações confidenciais. O impacto pode ser crítico em ambientes que utilizam arquivos de valores criptografados contendo dados confidenciais. Além disso, mensagens de erro do helm template podem ser usadas para enumeração de arquivos no sistema de arquivos do servidor de repositório.
Recomendações
Para versões do Argo CD anteriores à 2.1.9, atualize para a versão 2.1.9 ou posterior.
Para versões do Argo CD 2.2.x anteriores à 2.2.4, atualize para a versão 2.2.4 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à função helmTemplate em repository.go até que um patch seja aplicado.
Evite usar gráficos Helm personalizados que possam ser usados para explorar a vulnerabilidade.
Restrinja as permissões para criar ou atualizar aplicativos a fim de minimizar o risco de exploração.

Exploit

Correção

Path traversal

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-24348
GHSA-63QX-X74G-JCR7
GO-2022-0304

Produtos afetados

Argo Cd
Helm
Kubernetes