Faille critique non corrigée dans Argo CD expose les clusters Kubernetes à une prise de contrôle totale
FAILLE CRITIQUE NON CORRIGÉE DANS ARGO CD EXPOSE LES CLUSTERS KUBERNETES À UNE PRISE DE CONTRÔLE TOTALE
Une vulnérabilité non corrigée dans le composant repo-server d'Argo CD, outil largement utilisé pour le déploiement applicatif sur Kubernetes, permet à un attaquant non authentifié d'exécuter du code arbitraire. Découverte par le cabinet français Synacktiv, cette faille peut mener à une compromission complète du cluster Kubernetes ciblé. Aucun correctif ni identifiant CVE n'ont encore été publiés, ce qui expose durablement les environnements concernés.
IMPACTS POUR LES ORGANISATIONS
- ▸Prise de contrôle totale d'un cluster Kubernetes par un attaquant non authentifié
- ▸Exposition des charges de travail et secrets applicatifs hébergés dans le cluster
- ▸Absence de correctif disponible rendant toute remédiation immédiate impossible
- ▸Risque élevé pour les pipelines CI/CD utilisant Argo CD en environnement de production
Analyse
Argo CD est un outil open source de déploiement continu (GitOps) très répandu dans les environnements Kubernetes. La vulnérabilité identifiée par Synacktiv réside dans le composant repo-server, responsable de la récupération et du rendu des manifestes applicatifs. Un attaquant parvenant à accéder au port réseau interne de ce composant peut déclencher une exécution de code sans aucune authentification préalable.
La criticité de cette faille tient notamment à l'absence de tout mécanisme d'authentification sur ce port interne, supposé accessible uniquement depuis le réseau interne du cluster. Si la segmentation réseau est insuffisante, la surface d'attaque s'élargit considérablement. Synacktiv a signalé la vulnérabilité aux mainteneurs d'Argo CD, mais aucun correctif ni CVE n'a été émis à ce stade.
Dans l'attente d'un patch officiel, il est conseillé de restreindre strictement l'accès réseau au repo-server via des politiques réseau Kubernetes (NetworkPolicy) et de surveiller tout trafic inhabituel vers ce composant.
Source : The Hacker News
Source
Synthèse SecuriTrust de l'article publié par The Hacker News : Unpatched Argo CD Repo-Server Flaw Could Let Attackers Take Over Kubernetes Clusters