PT-2024-2558 · Argoproj · Argo Cd
Ry0Tak
·
Publicado
2024-03-13
·
Atualizado
2025-01-09
·
CVE-2024-28175
CVSS v3.1
9.0
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Argo CD de 1.0.0 a 2.10.2
Versões do Argo CD de 1.0.0 a 2.9.7
Versões do Argo CD de 1.0.0 a 2.8.11
Descrição
Devido à filtragem inadequada dos protocolos de URL dos links especificados nas anotações
link.argocd.argoproj.io no componente de resumo do aplicativo, um invasor pode realizar cross-site scripting com permissões elevadas. Isso permite que um usuário mal-intencionado insira um link javascript: na interface do usuário, que será executado com as permissões da vítima (até e incluindo as de administrador) quando clicado. A vulnerabilidade permite que um invasor execute ações arbitrárias em nome da vítima por meio da API, como criar, modificar e excluir recursos do Kubernetes.Recomendações
Para as versões do Argo CD 1.0.0 a 2.10.2, atualize para a versão 2.10.3 ou posterior.
Para as versões 1.0.0 a 2.9.7 do Argo CD, atualize para a versão 2.9.8 ou posterior.
Para as versões 1.0.0 a 2.8.11 do Argo CD, atualize para a versão 2.8.12 ou posterior.
Como solução alternativa temporária, considere criar um controlador de admissão do Kubernetes para rejeitar quaisquer recursos com uma anotação que comece com
link.argocd.argoproj.io ou rejeitar o recurso se o valor utilizar um protocolo de URL inadequado. Essa validação precisará ser aplicada em todos os clusters gerenciados pelo ArgoCD.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Argo Cd