PT-2022-16632 · Unknown+2 · Kubernetes+2
Moshe Zioni
·
Publicado
2022-02-04
·
Atualizado
2026-05-27
·
CVE-2022-24348
CVSS v3.1
7.7
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Argo CD anteriores à 2.1.9
Versões 2.2.x do Argo CD anteriores à 2.2.4
Descrição
A vulnerabilidade permite a traversal de diretórios relacionada a Helm charts devido a um erro no
helmTemplate em repository.go. Isso poderia permitir que um invasor descobrisse credenciais armazenadas em um arquivo YAML. A vulnerabilidade pode ser usada para roubar informações confidenciais de implantações do Argo CD, incluindo segredos, senhas e chaves de API de aplicativos Kubernetes. Ela afeta milhares de organizações globalmente e pode permitir que hackers roubem informações confidenciais. O impacto pode ser crítico em ambientes que utilizam arquivos de valores criptografados contendo dados confidenciais. Além disso, mensagens de erro do helm template podem ser usadas para enumeração de arquivos no sistema de arquivos do servidor de repositório.Recomendações
Para versões do Argo CD anteriores à 2.1.9, atualize para a versão 2.1.9 ou posterior.
Para versões do Argo CD 2.2.x anteriores à 2.2.4, atualize para a versão 2.2.4 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à função
helmTemplate em repository.go até que um patch seja aplicado.Evite usar gráficos Helm personalizados que possam ser usados para explorar a vulnerabilidade.
Restrinja as permissões para criar ou atualizar aplicativos a fim de minimizar o risco de exploração.
Exploit
Correção
Path traversal
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Argo Cd
Helm
Kubernetes