BDU:2023-00882

Опубликовано: 16 фев. 2023

Источник: fstec

CVSS3: 9.1

CVSS2: 8.3

EPSS Низкий

Описание

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Red Hat Inc.

The Linux Foundation

Наименование ПО

Red Hat OpenShift GitOps

Argo CD

Версия ПО

1.5 (Red Hat OpenShift GitOps)

1.7 (Red Hat OpenShift GitOps)

от 2.3.0 до 2.3.17 (Argo CD)

от 2.4.0 до 2.4.23 (Argo CD)

от 2.5.0 до 2.5.11 (Argo CD)

от 2.6.0 до 2.6.2 (Argo CD)

1.6 (Red Hat OpenShift GitOps)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- минимизация пользовательских привилегий;

- изменение конфигурации RBAC для ограничения возможности пользователем обновления любого кластера. Проверить конфигурацию RBAC на наличие таких строк:

p, role:developers, clusters, update, *, allow

p, role:developers, clusters, *, *, allow

p, role:developers, *, update, *, allow

Отозвать clusters, update для любых пользователей, которым этот доступ не нужен;

- ограничение управления ресурсами через AppProjects с использованием полей destinations и clusterResourceWhitelist.

Использование рекомендаций производителя:

Для Argo C:

https://github.com/argoproj/argo-cd/commit/fbb0b99b1ac3361b253052bd30259fa43a520945

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-23947

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-23947
CVE

EPSS

Процентиль: 44%

0.00218

Низкий

9.1 Critical

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2023-23947

CVSS3: 9.1

redhat

почти 3 года назад

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. All Argo CD versions starting with 2.3.0-rc1 and prior to 2.3.17, 2.4.23 2.5.11, and 2.6.2 are vulnerable to an improper authorization bug which allows users who have the ability to update at least one cluster secret to update any cluster secret. The attacker could use this access to escalate privileges (potentially controlling Kubernetes resources) or to break Argo CD functionality (by preventing connections to external clusters). A patch for this vulnerability has been released in Argo CD versions 2.6.2, 2.5.11, 2.4.23, and 2.3.17. Two workarounds are available. Either modify the RBAC configuration to completely revoke all `clusters, update` access, or use the `destinations` and `clusterResourceWhitelist` fields to apply similar restrictions as the `namespaces` and `clusterResources` fields.

CVE-2023-23947

CVSS3: 9.1

nvd

почти 3 года назад

GHSA-3jfq-742w-xg8j

CVSS3: 9.1

github

почти 3 года назад

Users with any cluster secret update access may update out-of-bounds cluster secrets

EPSS

Процентиль: 44%

0.00218

Низкий

9.1 Critical

CVSS3

8.3 High

CVSS2