平台
go
组件
github.com/argoproj/argo-cd
修复版本
2.6.1
2.10.1
2.11.1
2.9.21
CVE-2024-41666描述了github.com/argoproj/argo-cd Argo CD Web终端会话中一个权限失效问题。该漏洞允许攻击者在用户权限被撤销后，仍然能够执行未授权的操作，从而可能导致敏感信息泄露或系统被篡改。该问题影响Argo CD 2.9.0及之前的版本，建议用户尽快升级至2.9.21版本以修复此安全隐患。
该漏洞的影响在于攻击者可以绕过Argo CD的权限控制机制。即使用户权限已被撤销，攻击者仍可能通过Web终端会话继续访问和操作受保护的资源。这可能导致敏感数据泄露，例如应用程序配置、凭据或部署信息。更严重的场景下，攻击者可能利用此漏洞篡改应用程序配置，甚至控制整个集群。由于Argo CD通常用于持续部署和应用管理，因此该漏洞的潜在影响范围非常广泛，可能影响到多个应用程序和服务的安全。
该漏洞已公开披露，目前尚未观察到大规模的利用活动。该漏洞被评定为中等风险（CVSS 4.7）。虽然没有已知的公开利用程序（PoC），但该漏洞的潜在影响不容忽视，建议用户尽快采取措施进行修复。CISA尚未将其添加到KEV目录。
Organizations heavily reliant on Argo CD for GitOps workflows are at risk. Specifically, deployments with extensive user access controls and frequent permission changes are more vulnerable. Environments where Argo CD is integrated with other critical systems, such as CI/CD pipelines or infrastructure-as-code tools, face a higher potential impact.
• linux / server:
journalctl -u argocd-server -g 'permission revocation'• go / supply-chain: Inspect Argo CD source code for instances of permission handling logic, particularly around session management and revocation routines. Look for potential race conditions or improper checks. • generic web: Monitor Argo CD access logs for unusual patterns of user activity after permission changes. Look for sessions that persist after a user's access should have been revoked.
disclosure
漏洞利用状态
EPSS
0.10% (29% 百分位)
CISA SSVC
CVSS 向量
修复此漏洞的首要措施是升级至Argo CD 2.9.21或更高版本。如果由于兼容性或其他原因无法立即升级，可以考虑以下临时缓解措施：首先，严格审查Argo CD的权限配置，确保用户权限的授予和撤销机制得到正确实施。其次，实施多因素身份验证（MFA），以增加攻击者绕过权限控制的难度。此外，定期审查Argo CD的审计日志，及时发现和响应可疑活动。升级后，请验证用户权限是否能够正确失效，确认修复措施有效。
Actualice Argo CD a la versión 2.11.7, 2.10.16 o 2.9.21, o superior. Estas versiones contienen la corrección para la vulnerabilidad de permisos en el terminal web. La actualización evitará que los usuarios mantengan privilegios revocados si mantienen la sesión del terminal abierta.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-41666描述了Argo CD Web终端会话未能正确处理用户权限撤销的安全漏洞，可能导致攻击者绕过权限控制。
如果您正在使用Argo CD 2.9.0或更早版本，则可能受到此漏洞的影响。请尽快升级至2.9.21版本。
升级至Argo CD 2.9.21或更高版本是修复此漏洞的最佳方法。
目前尚未观察到大规模的利用活动，但建议尽快采取措施进行修复。
请访问Argo CD官方网站或GitHub仓库，查找相关的安全公告和更新信息。
上传你的 go.mod 文件，立即知道是否受影响。