【漏洞预警】Argo CD 存在 CSRF 漏洞(CVE-2024-22259)

漏洞描述:
Argo CD 是一个声明式的 GitOps 持续交付工具，用于在 Kubernetes 环境中进行应用程序的持续交付和部署管理,受影响版本中由于未对argocd.argoproj.io 注释中的URL协议正确过滤,具有ArgoCD管理资源的写入权限的攻击者可在UI中注入 javascript: 链接。当受害用户点击时，脚本将以受害者的权限（包括管理员权限）执行，进而执行创建API、修改和删除 Kubernetes 资源等操作。

影响范围:
argo-cd[1.0, 2.10.3)

argo-cd[2.9.7, 2.9.8)

argo-cd[2.8.11, 2.8.12)

github.com/argoproj/argo-cd/v2[1.0, 2.10.3)

github.com/argoproj/argo-cd/v2[2.9.7, 2.9.8)

github.com/argoproj/argo-cd/v2[2.8.11, 2.8.12)

修复方案:
将argo-cd升级至2.10.3及以上版本

将argo-cd升级至2.9.8及以上版本

将argo-cd升级至2.8.12及以上版本

将github.com/argoproj/argo-cd/v2 升级至 2.10.3 及以上版本

使用RBAC 限制用户对 Kubernetes 资源清单的写入权限

将github.com/argoproj/argo-cd/v2 升级至 2.9.8 及以上版本

将组件 github.com/argoproj/argo-cd/v2 升级至 2.8.12 及以上版本

参考链接:
https://github.com/argoproj/argo-cd/commit/479b5544b57dc9ef767d49f7003f39602c480b71

https://github.com/argoproj/argo-cd/security/advisories/GHSA-jwv5-8mqv-g387

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Argo CD 存在 CSRF 漏洞(CVE-2024-22259)