プラットフォーム
go
コンポーネント
github.com/argoproj/argo-cd
修正版
2.6.1
2.10.1
2.11.1
2.9.21
CVE-2024-41666は、Argo CD Webターミナルにおける権限取り消し処理の不備です。この脆弱性により、ユーザーの権限が取り消されても、Webターミナルセッションが維持される可能性があります。影響を受けるバージョンはArgo CD 2.9.21より前のものです。現在、2.9.21へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はユーザーの権限が取り消された後も、Argo CD Webターミナルへのアクセスを維持し、機密情報へのアクセスや不正な操作を実行できる可能性があります。特に、権限昇格を試みる攻撃者にとって、この脆弱性は有用な攻撃経路となり得ます。攻撃者は、取り消された権限を維持することで、継続的にシステムにアクセスし、潜在的な損害を拡大する可能性があります。この脆弱性は、Argo CDのセキュリティを著しく低下させる可能性があります。
この脆弱性は、公開されており、攻撃者による悪用が懸念されます。現時点では、公的に利用可能なPoCは確認されていませんが、脆弱性の性質上、比較的容易に悪用される可能性があります。CISA KEVリストへの登録状況は不明です。NVD（National Vulnerability Database）への登録日およびCISAへの通知日は2024年8月6日です。
Organizations heavily reliant on Argo CD for GitOps workflows are at risk. Specifically, deployments with extensive user access controls and frequent permission changes are more vulnerable. Environments where Argo CD is integrated with other critical systems, such as CI/CD pipelines or infrastructure-as-code tools, face a higher potential impact.
• linux / server:
journalctl -u argocd-server -g 'permission revocation'• go / supply-chain: Inspect Argo CD source code for instances of permission handling logic, particularly around session management and revocation routines. Look for potential race conditions or improper checks. • generic web: Monitor Argo CD access logs for unusual patterns of user activity after permission changes. Look for sessions that persist after a user's access should have been revoked.
disclosure
エクスプロイト状況
EPSS
0.10% (29% パーセンタイル)
CISA SSVC
CVSS ベクトル
Argo CD 2.9.21以上にアップデートすることが推奨されます。アップデートできない場合は、ユーザーの権限取り消し後にWebターミナルセッションを強制的に終了させるためのワークアラウンドを検討してください。例えば、定期的にセッションを無効化するスクリプトを実行したり、権限取り消し時に自動的にセッションをログアウトさせる仕組みを導入したりすることが考えられます。また、WAF（Web Application Firewall）を使用して、不審なアクティビティを監視し、ブロックすることも有効です。
Actualice Argo CD a la versión 2.11.7, 2.10.16 o 2.9.21, o superior. Estas versiones contienen la corrección para la vulnerabilidad de permisos en el terminal web. La actualización evitará que los usuarios mantengan privilegios revocados si mantienen la sesión del terminal abierta.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-41666は、Argo CD Webターミナルにおけるユーザー権限の取り消し処理の不備です。権限が取り消されてもセッションが維持される可能性があります。
Argo CDのバージョンが2.9.21より前の場合は影響を受けます。2.9.21以上にアップデートしてください。
Argo CDをバージョン2.9.21以上にアップデートしてください。アップデートできない場合は、ワークアラウンドを検討してください。
現時点では公的なPoCは確認されていませんが、脆弱性の性質上、悪用される可能性があります。
Argo CDの公式アドバイザリは、[https://argoproj.github.io/](https://argoproj.github.io/) で確認できます。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。