【漏洞通告】Kubernetes Argo CD權限提升漏洞（CVE-2022-29165）
發布時間 2022-06-010x00 漏洞概述
CVE ID | CVE-2022-29165 | 發現時間 | 2022-06-01 |
類 型 | 權限提升 | 等 級 | 嚴重 |
遠程利用 | 是 | 影響范圍 | |
攻擊復雜度 | 低 | 用戶交互 | 無 |
PoC/EXP | 在野利用 |
0x01 漏洞詳情
Argo CD是用于Kubernetes的聲明式GitOps持續交付工具。
5月18日，Argo CD項目發布安全公告，Argo CD中存在一個權限提升漏洞（CVE-2022-29165），該漏洞的CVSS評分為10.0。
當啟用對Argo CD實例的匿名訪問時（默認禁用），未經身份驗證的用戶可以通過在請求中發送特制的JSON Web Token（JWT）來冒充任何Argo CD用戶或角色，包括管理員用戶，無論該帳戶是否被啟用或存在于Argo CD實例上。
成功利用此漏洞可以在集群上獲得與Argo CD實例相同的權限，在默認安裝中是集群管理員。這將能夠創建、操縱和刪除集群上的任何資源，或執行其它惡意操作。
影響范圍
Argo CD 版本1.4.0 - 2.1.14
Argo CD 版本 2.2.8
Argo CD 版本 2.3.3
0x02 安全建議
目前此漏洞已經修復，建議所有 Argo CD 用戶盡快更新到以下修復版本，無論您的實例中是否啟用了匿名訪問：
Argo CD 版本 v2.3.4
Argo CD 版本 v2.2.9
Argo CD 版本 v2.1.15
下載鏈接：
https://github.com/argoproj/argo-cd/releases
緩解措施：
禁用匿名訪問
如果暫時無法升級到修復版本，可以選擇禁用匿名訪問（如果已啟用）。
1.若要查詢Argo CD實例是否啟用了匿名訪問，可以查詢Argo CD的安裝命名空間中的argocd-cm ConfigMap。下例假設已經把Argo CD安裝到argocd命名空間：
$ kubectl get -n argocd cm argocd-cm -o jsonpath=’{.data.users\.anonymous\.enabled}’
如果此命令的結果為空或"false"，則表示未啟用對該實例的匿名訪問。如果結果是"true"，則意味著實例很容易受到攻擊。
2. 要禁用匿名訪問，請修補argocd-cmConfigMap 以刪除該users.anonymous.enabled字段或將此字段設置為"false"：
A．將字段設置為"false"：
$ kubectl patch -n argocd cm argocd-cm --type=json -p='[{"op":"add", "path":"/data/users.anonymous.enabled", "value":"false"}]'
B．也可以選擇完全刪除該字段，從而禁用匿名訪問，因為默認值為false：
$ kubectl patch -n argocd cm argocd-cm --type=json -p='[{"op":"remove", "path":"/data/users.anonymous.enabled"}]'
0x03 參考鏈接
https://github.com/argoproj/argo-cd/security/advisories/GHSA-r642-gv9p-2wjj
https://argo-cd.readthedocs.io/en/stable/operator-manual/rbac/#anonymous-access
https://latesthackingnews.com/2022/05/31/serious-argo-cd-vulnerability-could-allow-admin-access-to-the-attackers/
0x04 版本信息
版本 | 日期 | 修改內容 |
V1.0 | 2022-06-01 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號