阿里云漏洞库
高危漏洞
CVE 漏洞库
非CVE漏洞库
安全社区
搜索
安全社区
应用程序
CVE-2022-1025
中危
Argo 安全漏洞
CVE编号
CVE-2022-1025
利用情况
暂无
补丁情况
官方补丁
披露时间
2022-03-23
漏洞描述
Argo是一款开源的容器本机工作流引擎。
ArgoCD存在安全漏洞,攻击者对应用程序的 git 或 Helm repository执行他们无权执行的操作。例如,攻击者具有“update”或“delete”的权限,他们可以修改或删除目标集群上的任何资源,并将 ArgoCD 权限提升到管理员级别。如果攻击者具有“get”访问权限,他们可以查看和列出目标集群上除机密之外的任何资源,并查看目标集群上任何 pod 的日志。如果攻击者对应用程序具有“/{some action or *}”操作的访问权限,他们可以对任何支持应用程序的目标集群上进行运行操作。
解决建议
目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:
https://argo-cd.readthedocs.io/en/stable/
参考链接
https://access.redhat.com/security/cve/cve-2022-1025
https://github.com/argoproj/argo-cd/security/advisories/GHSA-2f5v-8r3f-8pww
受影响软件情况
#
类型
厂商
产品
版本
影响面
1
运行在以下环境
应用
linuxfoundation
argo-cd
*
From
(including)
0.5.0
Up to
(including)
2.1.12
运行在以下环境
应用
linuxfoundation
argo-cd
*
From
(including)
2.2.0
Up to
(including)
2.2.7
运行在以下环境
应用
linuxfoundation
argo-cd
*
From
(including)
2.3.0
Up to
(including)
2.3.1
阿里云评分
4.5
攻击路径
远程
攻击复杂度
复杂
权限要求
无需权限
影响范围
有限影响
EXP成熟度
未验证
补丁情况
官方补丁
数据保密性
数据泄露
数据完整性
无影响
服务器危害
无影响
全网数量
N/A
CWE-ID
漏洞类型
CWE-1220
Insufficient Granularity of Access Control
CWE-284
访问控制不恰当
CWE-863
授权机制不正确
NVD-CWE-Other
阿里云安全产品覆盖情况
云安全中心
WAF
云防火墙
RASP
Exp相关链接
×