Kubernetes的开源GitOps 平台 Argo CD 中存在严重的提权漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Kubernetes 的持续交付工具Argo CD 修复了一个严重漏洞，可导致攻击者伪造 JSON Web Tokens (JWTs) 并成为管理员。

该提权漏洞产生的原因在于，开源的GitOps 平台 Argo CD 在匿名访问权限启用的前提下错误地信任了不合法的JSON JWTs。不过，对用户而言的好消息是，虽然该bug的严重性程度为最高分10分，但默认情况下匿名访问权限是禁用的。

01

集群控制

GitHub 上的安全公告指出，如未认证恶意人员将特殊构造的JWT发送给易受攻击的程序，则可“在集群上获得的权限和Argo CD 实例上默认的集群管理员权限相同。这将导致攻击者创建、操纵并删除集群上的任何资源。“

此外，攻击者“可通过提升后的权限部署恶意的工作载荷渗透数据，从而绕过任何由 Argo CD API 执行的敏感数据的编校。”这意味着，即使管理员角色被禁用，攻击者提升至管理员权限不受影响。

02

软件更新

该漏洞影响版本 1.4.0至2.1.14（包含）、2.2.8（包含）和2.3.3（包含），已在版本2.3.4、2.2.9和2.1.15中修复。

安全公告指出，在用户能够应用更新前，应禁用匿名访问权限。

尽管如此，用户应该“尽快修复，不管实例中是否启用了匿名访问权限。”

用户可通过在名称空间查询argocd-cm ConfigMap，查询匿名访问权限是否启用。

该漏洞是由伦敦技术公司 G-Research 的研究员Mark Pim 和 Andrzej Hajto 发现的。该更新还解决了一个中危漏洞（CVSS 4.3），可导致拥有仓库的用户将权限写入，泄露 Argo 仓库服务器的敏感文件。

该漏洞最初是在3月发布的 Trail of Bits 审计结果的一部分发现的。在补丁发布前，软件工程师 Michael Crenshaw 独立重新发现该漏洞。

---

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

在线阅读版：《2021中国软件供应链安全分析报告》全文

Kubernetes 的CRI-O容器引擎中存在严重漏洞

谷歌宣布 Linux Kernel、Kubernetes 0day 漏洞奖励加倍

Linux 内核漏洞可用于逃逸 Kubernetes 容器

NSA和CISA 联合发布Kubernetes 安全加固指南

开源容器原生工作流引擎 Argo Workflows 可被用于攻击 K8s 集群

原文链接

https://portswigger.net/daily-swig/critical-argo-cd-vulnerability-could-allow-attackers-admin-privileges

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~