TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ช่องโหว่ในระบบ API ของ Argo CD ทำให้ API token ที่มีสิทธิ์ระดับต่ำ สามารถเข้าถึง API endpoints และดึง Repository Credential ทั้งหมดที่เกี่ยวข้องกับโปรเจกต์ได้
Argo CD เครื่องมือ GitOps และ Continuous Deployment สำหรับ Kubernetes ที่ถูกใช้งานโดยองค์กรชั้นนำอย่าง Adobe, Google, IBM, Intuit, Red Hat, Capital One และ BlackRock พบช่องโหว่ร้ายแรงที่ติดตามภายใต้รหัส CVE-2025-55190 ซึ่งได้รับคะแนนความรุนแรงสูงสุดที่ 10.0 ใน CVSS v3 ช่องโหว่นี้ทำให้สามารถเลี่ยงกลไกการแยกข้อมูล (isolation mechanisms) ที่ออกแบบมาเพื่อปกป้อง Sensitive Credential ได้ โดยส่งผลกระทบต่อทุกเวอร์ชันของ Argo CD จนถึงเวอร์ชัน 2.13.0
ช่องโหว่ที่ค้นพบโดย Ashish Goyal มีลักษณะการทำงานที่น่ากังวล คือ API token ที่มีสิทธิ์ระดับโปรเจกต์สามารถดึง Repository Credential ที่มีความสำคัญ เช่น username และ password ผ่าน project details API endpoint ได้ แม้ว่า token นั้นจะมีเพียงสิทธิ์จัดการแอปพลิเคชันมาตรฐานและไม่มีการเข้าถึง secrets อย่างชัดเจนก็ตาม สิ่งที่ทำให้ช่องโหว่นี้อันตรายเป็นพิเศษคือไม่ได้จำกัดแค่ project-level permissions เท่านั้น แต่ยังรวมถึง token ใดๆ ที่มี project get permissions รวมถึง global permissions อย่าง p, role/user, projects, get, *, allow อีกด้วย
ผู้โจมตีที่ได้รับ Credential เหล่านี้สามารถนำไปใช้ในการ clone private codebase, แทรก malicious manifest, พยายามโจมตีระบบ downstream หรือใช้เป็นจุดผ่านไปยังทรัพยากรอื่นๆ ที่มีการใช้ credential เดียวกันซ้ำ แม้ว่าการโจมตียังคงต้องการ API token ที่ถูกต้องของ Argo CD ทำให้ผู้ใช้งานที่ไม่ได้ยืนยันตัวตนไม่สามารถใช้ประโยชน์ได้ แต่ผู้ใช้งานที่มีสิทธิ์ต่ำก็สามารถใช้มันเพื่อเข้าถึงข้อมูลสำคัญที่ปกติไม่ควรเข้าถึงได้ เมื่อพิจารณาจากการใช้งาน Argo CD อย่างกว้างขวางในระบบ production cluster ขององค์กรขนาดใหญ่ การเปิดเผย credential โดยตรงและข้อกำหนดในการโจมตีที่ไม่สูงมากทำให้ช่องโหว่นี้มีความอันตรายเป็นพิเศษ อาจนำไปสู่การขโมยโค้ด การขู่กรรโชกเงิน และการโจมตี supply chain
ทาง Argo Project ได้ออกการแก้ไขในเวอร์ชัน 3.1.2, 3.0.14, 2.14.16 และ 2.13.9 แล้ว ผู้ดูแลระบบที่ใช้งาน Argo CD ควรรีบอัปเดตไปยังเวอร์ชันที่แก้ไขแล้วโดยเร็วที่สุด เพื่อป้องกันความเสี่ยงจากการถูกโจมตีผ่านช่องโหว่ที่มีความรุนแรงสูงสุดนี้ การแก้ไขได้ถูกพัฒนาเพื่อจำกัดการเข้าถึง repository credential ให้ต้องมีสิทธิ์ที่ชัดเจนเท่านั้น และป้องกันไม่ให้ standard project permissions สามารถเข้าถึง repository secrets ได้โดยไม่ได้ตั้งใจ
