CVE-2023-40029

सारांश

Argo CD कुबरनेट्स के लिए एक घोषणात्मक निरंतर परिनियोजन (declarative continuous deployment) है। Argo CD क्लस्टर सीक्रेट्स को Argo CD / kubectl apply का उपयोग करके घोषणात्मक रूप से प्रबंधित किया जा सकता है। परिणामस्वरूप, पूर्ण सीक्रेट बॉडी `kubectl.kubernetes.io/last-applied-configuration` एनोटेशन में संग्रहीत होती है। पुल रिक्वेस्ट #7139 ने क्लस्टर लेबल और एनोटेशन प्रबंधित करने की क्षमता प्रस्तुत की। चूंकि क्लस्टर सीक्रेट्स के रूप में संग्रहीत होते हैं, यह `kubectl.kubernetes.io/last-applied-configuration` एनोटेशन को भी उजागर करता है जिसमें पूर्ण सीक्रेट बॉडी शामिल होती है। Argo CD API के माध्यम से क्लस्टर एनोटेशन देखने के लिए, उपयोगकर्ता के पास `clusters, get` RBAC पहुंच होनी चाहिए। **नोट:** कई मामलों में, क्लस्टर सीक्रेट्स में कोई वास्तविक गोपनीय जानकारी नहीं होती है। लेकिन कभी-कभी, जैसे bearer-token प्रमाणीकरण में, सामग्री अत्यंत संवेदनशील हो सकती है। यह बग संस्करण 2.8.3, 2.7.14, और 2.6.15 में पैच किया गया है। उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। जो उपयोगकर्ता अपग्रेड करने में असमर्थ हैं, उन्हें `server-side-apply` फ्लैग के साथ क्लस्टर सीक्रेट को अपडेट/डिप्लॉय करना चाहिए, जो `kubectl.kubernetes.io/last-applied-configuration` एनोटेशन का उपयोग या निर्भरता नहीं करता है। नोट: मौजूदा सीक्रेट्स के लिए एनोटेशन को मैन्युअल रूप से हटाने की आवश्यकता होगी।

• CVE-2023-40029एक्सप्लॉइट

  CVE-2023-40029 git