Eine hochgradige Sicherheitslücke in Argo CD könnte es einem Angreifer ermöglichen, auf sensible Informationen von Zielanwendungen zuzugreifen.
Argo CD, ein beliebtes Open-Source-CD-Tool (Continuous Delivery) für Kubernetes, wird verwendet, um laufende Anwendungen zu überwachen und ihren Live-Status zu vergleichen, um Administratoren dabei zu helfen, Anwendungen mit ihrem gewünschten Status zu synchronisieren.
Verfolgt als CVE-2022-24348 (CVSS-Score von 7.7) handelt es sich bei der Schwachstelle um einen Path-Traversal-Bug, der es einem Angreifer ermöglicht, eine Kubernetes-Helm-Chart-YAML-Datei zu laden und Zugriff auf die Daten anderer Anwendungen zu erhalten. Helm-Diagramme sind YAML-Dateien, die verschiedene Felder enthalten, die Ressourcen und Konfigurationen einbetten, die für die Anwendungsbereitstellung erforderlich sind.
Kubernetes Helm-Diagrammdateien, die beim Erstellen einer neuen Bereitstellungspipeline verwendet werden, enthalten Metadaten und Informationen, die für die Bereitstellung erforderlich sind, sowie die Möglichkeit, die Cloudkonfiguration zu aktualisieren.
Die Schwachstelle ermöglicht es einem Angreifer, beliebige Wertdateien an Helm-Charts zu übergeben oder „spezielle Helm-Chart-Pakete zu erstellen, die Wertdateien enthalten, die eigentlich symbolische Links sind und auf beliebige Dateien außerhalb des Stammverzeichnisses des Repositorys verweisen“, so ein beratend von Argo-CD.
[LESEN: Bedrohungsakteure zielen über Argo-Workflows auf Kubernetes-Cluster ab ]
Die Betreuer der Plattform weisen darauf hin, dass ein Angreifer, der die Schwachstelle ausnutzen möchte, über Berechtigungen zum Erstellen oder Aktualisieren von Anwendungen verfügen muss und außerdem „den vollständigen Pfad zu einer Datei mit gültigem YAML“ kennen oder erraten muss.
Auf diese Weise kann der Angreifer „ein bösartiges Helm-Diagramm erstellen, um diese YAML als Wertedateien zu verwenden, wodurch er Zugriff auf Daten erhält, auf die er sonst keinen Zugriff hätte“. Die Auswirkungen, so das Team, werden kritisch, wenn sensible oder vertrauliche Daten in der Umgebung vorhanden sind.
Apiiro, ein Drittunternehmen, das das Sicherheitsproblem entdeckt hat, warnt Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, „Geheimnisse, Token und andere vertrauliche Informationen, die sich in anderen Anwendungen befinden“, zu lesen oder zu stehlen.
Die Schwachstelle ist dem Entwicklerteam seit 2019 bekannt, als der CD ein Anti-Path-Traversal-Mechanismus hinzugefügt wurde. Die Schwachstelle besteht jedoch aufgrund eines Fehlers in der Steuerung.
Der Patch für diese Schwachstelle war in der enthalten Argo CD veröffentlicht v2.3.0, v2.2.4 und v2.1.9. Der Fix verhindert „Wertdateien außerhalb des Repository-Stammverzeichnisses“.
Argo CD-Benutzern wird empfohlen, so schnell wie möglich auf eine Patch-Version der Plattform zu aktualisieren, da keine Problemumgehungen für diese Schwachstelle verfügbar sind.
Related: Kritische SAP-Schwachstelle ermöglicht Angriffe auf die Lieferkette
Related: Millionen Router von NetUSB-Kernel-Sicherheitslücke betroffen
Related: Log4Shell-ähnliche Schwachstelle in beliebter H2-Datenbank gefunden
Ionut Arghire ist ein internationaler Korrespondent für SecurityWeek.
Stichworte:
