概要
Argo CDのバージョン3.2.0から3.2.10および3.3.0から3.3.8において、ServerSideDiff機能にKubernetes Secretの平文データが読み取り可能になる情報漏洩の脆弱性が存在します。
本来Argo CDはKubernetes Secretの内容を適切にマスキングして表示する設計ですが、ServerSideDiff機能を使用した差分表示において、このマスキング処理が正しく適用されず、Secretリソースの平文データがユーザーに表示されてしまいます。これはCWE-212（機密情報の不適切な除去）に分類される脆弱性です。
Argo CDはKubernetesエコシステムにおけるGitOps型継続的デリバリーツールとして広く普及しており、データベースの認証情報やAPIキーなどの機密情報がSecretに格納されていることが一般的です。この脆弱性により、本来アクセス権のないユーザーがこれらの機密情報を閲覧できる可能性があり、影響範囲は広いと考えられます。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.7 |
| 深刻度 | High |
| CWE | CWE-212（機密情報の不適切な除去） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 低 |
影響を受けるソフトウェア
- Argo CD 3.2.0 から 3.2.10
- Argo CD 3.3.0 から 3.3.8
修正バージョンと回避策
- Argo CD 3.2.11以降、または3.3.9以降へアップデートしてください
- アップデートまでの間、ServerSideDiff機能を無効化することで脆弱性の影響を緩和できます
- Argo CDへのユーザーアクセス権限を必要最小限に見直すことも推奨されます
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。