CVE-2023-40029

概要

Argo CD は、Kubernetes 向けの宣言型継続的デプロイメントツールです。Argo CD のクラスタシークレットは、Argo CD / kubectl apply を使用して宣言的に管理される場合があります。その結果、シークレットの完全な本文が `kubectl.kubernetes.io/last-applied-configuration` アノテーションに保存されます。pull request #7139 により、クラスタのラベルとアノテーションを管理する機能が導入されました。クラスタはシークレットとして保存されるため、シークレットの完全な本文を含む `kubectl.kubernetes.io/last-applied-configuration` アノテーションも公開されます。Argo CD API を介してクラスタのアノテーションを表示するには、ユーザーに `clusters, get` の RBAC アクセス権が必要です。**注:** 多くの場合、クラスタシークレットには実際の機密情報は含まれていません。ただし、ベアラートークン認証などの場合、その内容が非常に機密性の高いものになることがあります。このバグはバージョン 2.8.3、2.7.14、および 2.6.15 で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、`kubectl.kubernetes.io/last-applied-configuration` アノテーションを使用せず、依存しない `server-side-apply` フラグを使用してクラスタシークレットを更新/デプロイする必要があります。注: 既存のシークレットのアノテーションは手動で削除する必要があります。

ソース

• CVE-2023-40029エクスプロイト

  CVE-2023-40029 git