Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-04887

Опубликовано: 12 июл. 2022
Источник: fstec
CVSS3: 9.6
CVSS2: 10
EPSS Низкий

Описание

Уязвимость инструмента автоматизации развертывания приложений в Kubernetes ArgoCD связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки

Вендор

The Linux Foundation

Наименование ПО

Argo CD

Версия ПО

от 0.4.0 до 2.2.11 (Argo CD)
от 2.3.0 до 2.3.6 (Argo CD)
от 2.4.0 до 2.4.5 (Argo CD)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Обновление программного обеспечения до версий 2.2.11, 2.3.6, 2.4.5 и выше
Компенсирующие меры:
- установить поле oidc.config.rootCA в argocd-cm ConfigMap.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 48%
0.00254
Низкий

9.6 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.3
redhat
больше 3 лет назад

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Argo CD starting with version 0.4.0 and prior to 2.2.11, 2.3.6, and 2.4.5 is vulnerable to an improper certificate validation bug which could cause Argo CD to trust a malicious (or otherwise untrustworthy) OpenID Connect (OIDC) provider. A patch for this vulnerability has been released in Argo CD versions 2.4.5, 2.3.6, and 2.2.11. There are no complete workarounds, but a partial workaround is available. Those who use an external OIDC provider (not the bundled Dex instance), can mitigate the issue by setting the `oidc.config.rootCA` field in the `argocd-cm` ConfigMap. This mitigation only forces certificate validation when the API server handles login flows. It does not force certificate verification when verifying tokens on API calls.

CVSS3: 8.3
nvd
больше 3 лет назад

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Argo CD starting with version 0.4.0 and prior to 2.2.11, 2.3.6, and 2.4.5 is vulnerable to an improper certificate validation bug which could cause Argo CD to trust a malicious (or otherwise untrustworthy) OpenID Connect (OIDC) provider. A patch for this vulnerability has been released in Argo CD versions 2.4.5, 2.3.6, and 2.2.11. There are no complete workarounds, but a partial workaround is available. Those who use an external OIDC provider (not the bundled Dex instance), can mitigate the issue by setting the `oidc.config.rootCA` field in the `argocd-cm` ConfigMap. This mitigation only forces certificate validation when the API server handles login flows. It does not force certificate verification when verifying tokens on API calls.

CVSS3: 8.3
github
больше 3 лет назад

Argo CD certificate verification is skipped for connections to OIDC providers

EPSS

Процентиль: 48%
0.00254
Низкий

9.6 Critical

CVSS3

10 Critical

CVSS2