Heimdall Security Logo

CVE-2024-41666

Vulnérabilité moyenne dans argo-cd (argoproj)

CVSS 4.7 · Moyenne
EPSS 0.7%
argoproj•argo-cd•Versions : >= 2.6.0, < 2.9.21, >= 2.11.0, < 2.11.7, >= 2.10.0, < 2.10.16

Description

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Argo CD has a Web-based terminal that allows users to get a shell inside a running pod, just as they would with kubectl exec. Starting in version 2.6.0, when the administrator enables this function and grants permission to the user `p, role:myrole, exec, create, */*, allow`, even if the user revokes this permission, the user can still perform operations in the container, as long as the user keeps the terminal view open for a long time. Although the token expiration and revocation of the user are fixed, however, the fix does not address the situation of revocation of only user `p, role:myrole, exec, create, */*, allow` permissions, which may still lead to the leakage of sensitive information. A patch for this vulnerability has been released in Argo CD versions 2.11.7, 2.10.16, and 2.9.21.

Gravité et risque d'exploitation

CVE-2024-41666 obtient un score CVSS de 4.7/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.69 %, ce qui la place devant 51.7 % des CVE référencées.

Que faire ?

  • Vérifiez si argo-cd (versions >= 2.6.0, < 2.9.21, >= 2.11.0, < 2.11.7, >= 2.10.0, < 2.10.16) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE