Argo CDにおいて、PreDeleteおよびPostDeleteリソースフックの処理に不備が存在する。同期時にはAppProjectによる宛先ネームスペースやリソースの制限チェックが行われるが、アプリケーション削除時に実行されるPreDeleteおよびPostDeleteフックはこのチェックをスキップする。これにより、Gitリポジトリへのプッシュ権限を持つ攻撃者が、AppProjectで本来許可されていないネームスペースへのリソース作成やクラスタースコープオブジェクトの不正作成を行うおそれがある。
対象ソフト
Argo CDは、Kubernetes環境向けの宣言型GitOps継続的デリバリーツールであり、多くの組織のクラウドネイティブなインフラ管理やアプリケーションのデプロイメント自動化に使用されている。
影響
攻撃者によって、AppProjectの制限をバイパスして本来許可されていないセンシティブなネームスペースやAPIへアクセスし、クラスタ全体に影響を与える不正なリソースを作成される可能性がある。
対応策
v3.3.15、v3.4.10、v3.5.4、v3.6.0-rc2 以降にアップグレードすること。
