Argo CD Image Updater 프록시 설정 명령 주입으로 명령 실행 가능
OpenShift GitOps 배포 도구에서 공격자가 명령을 실행하고 계정 정보를 훔칠 수 있습니다.
요약
Argo CD Image Updater에서 SSH Git 저장소의 프록시 주소가 검증 없이 셸 명령에 들어갑니다. 공격자가 악성 프록시 값을 설정할 수 있으면 명령을 실행하고 Image Updater가 가진 자격 증명에 접근할 수 있습니다. Red Hat OpenShift GitOps의 argocd-image-updater 패키지가 해당합니다.
해당 조건
- SSH Git 저장소에 프록시 주소를 설정한 경우
- 공격자가 프록시 값을 설정할 수 있는 경우
대처법
upstream argocd-image-updater는 1.4.1 미만 버전이 해당합니다. 실행 중인 버전이 이보다 최신인지 확인하고, Red Hat 권고에서 수정 버전을 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인