CVE-2023-40029

КритическийОпубликовано

Кластерный секрет может быть раскрыт на странице сведений о кластере в Argo CD

Опубликовано: 7 сент. 2023 г.
Обновлено: 26 сент. 2024 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

9,9/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Оценка вероятности EPSS

1,2 %

Низкий · следующие 30 дней

Процентиль: 66,2 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Argo CD — это декларативное непрерывное развертывание для Kubernetes. Секреты кластеров Argo CD могут управляться декларативно с помощью Argo CD / `kubectl apply`. В результате полное тело секрета хранится в аннотации `kubectl.kubernetes.io/last-applied-configuration`. Пулл-реквест #7139 добавил возможность управлять метками и аннотациями кластеров. Поскольку кластеры хранятся как секреты, это также раскрывает аннотацию `kubectl.kubernetes.io/last-applied-configuration`, которая включает полное тело секрета. Чтобы просмотреть аннотации кластера через API Argo CD, пользователь должен иметь RBAC-доступ `clusters, get`. **Примечание:** Во многих случаях секреты кластеров не содержат какой-либо действительно секретной информации. Но иногда, как при аутентификации с помощью bearer-токена, содержимое может быть очень чувствительным. Ошибка исправлена в версиях 2.8.3, 2.7.14 и 2.6.15. Пользователям рекомендуется выполнить обновление. Пользователи, которые не могут обновиться, должны обновить/развернуть секрет кластера с флагом `server-side-apply`, который не использует и не полагается на аннотацию `kubectl.kubernetes.io/last-applied-configuration`. Примечание: аннотацию для существующих секретов потребуется удалить вручную.

Источники

CVE-2023-40029Эксплойт
CVE-2023-40029 git

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.