ช่องโหว่สำคัญของ Argo CD ทำให้ผู้โจมตีภายในคลัสเตอร์รันโค้ดได้

Argo CD เปิดเผยช่องโหว่ระดับสำคัญที่ทำให้ผู้โจมตีที่สามารถเข้าถึงภายในคลัสเตอร์ Kubernetes สามารถเรียกใช้โค้ดและปรับเปลี่ยนการปรับใช้แอปพลิเคชันได้ โดยช่องโหว่นี้อยู่ในคอมโพเนนต์ repo‑server ของ Argo CD ซึ่งเป็นส่วนสำคัญของแพลตฟอร์ม GitOps ที่หลายองค์กรใช้เป็นศูนย์กลางการจัดการการส่งมอบซอฟต์แวร์

Overview

Argo CD เป็นเครื่องมือจัดการ Kubernetes ที่อิงตามแนวคิด GitOps และได้รับความนิยมอย่างกว้างขวางในองค์กรหลายแห่ง คำเตือนจากบริษัทด้านความปลอดภัย Synacktiv ระบุว่าช่องโหว่ใน repo‑server ทำให้ผู้โจมตีที่สามารถเข้าถึงพอร์ต gRPC ของคอมโพเนนต์นี้และพอร์ต Redis ภายในคลัสเตอร์ สามารถทำการโจมตีได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์

การโจมตีเริ่มจากการส่งคำขอไปยัง endpoint GenerateManifest ซึ่งเป็น endpoint ที่ไม่ได้รับการตรวจสอบตัวตน (unauthenticated) ผู้โจมตีสามารถใส่ตัวเลือกของ Kustomize พร้อมกับตัวเลือกการสร้างที่เกี่ยวกับ Helm เพื่อให้ระบบทำการรันคำสั่งที่ควบคุมโดยผู้โจมตีได้ การใช้ประโยชน์จากจุดอ่อนนี้ต้องอาศัยการเข้าถึงภายในคลัสเตอร์เท่านั้น ไม่จำเป็นต้องเปิดให้เข้าถึงจากอินเทอร์เน็ต

Technical Details

ตามรายงานของ Synacktiv ปัญหานี้เกิดจากการที่ repo‑server รับคำขอ GenerateManifest ผ่าน gRPC โดยไม่มีการตรวจสอบสิทธิ์ ทำให้ผู้โจมตีที่สามารถสื่อสารกับพอร์ตนี้ได้ สามารถส่งพารามิเตอร์ของ Kustomize ที่ผสานกับการเรียกใช้ Helm เพื่อทำให้ระบบรันคำสั่งใด ๆ ที่กำหนดไว้ในมานิฟีสต์

การโจมตีต้องอาศัยการเข้าถึงทั้งพอร์ต gRPC ของ repo‑server และพอร์ต Redis ที่ใช้เก็บแคชข้อมูลการปรับใช้ Synacktiv พบว่าในหลายการติดตั้งผ่าน Helm Chart นโยบายเครือข่าย (network policies) ที่ควรป้องกันการสื่อสารระหว่าง pod ภายในไม่ได้เปิดใช้งานโดยค่าเริ่มต้น ทำให้การเข้าถึงบริการเหล่านี้จาก pod ใด ๆ ภายในคลัสเตอร์เป็นไปได้ง่าย

นอกจากนี้ Synacktiv ยังสามารถดึงรหัสผ่านของ Redis จากตัวแปรสภาพแวดล้อมของ repo‑server ได้ และใช้ข้อมูลนี้เพื่อเข้าถึงฐานข้อมูล Redis ของ Argo CD การปรับเปลี่ยนข้อมูลแคชทำให้สามารถใส่มานิฟีสต์ที่เป็นอันตรายลงไปได้โดยอัตโนมัติเมื่อเปิดใช้ฟีเจอร์ Auto Sync ของ Argo CD

Exploitation Scenario

หากผู้โจมตีสามารถทำให้ pod ภายในคลัสเตอร์ถูกคอมพรอมไตส์ (compromised) เช่น แอปพลิเคชันที่มีช่องโหว่หรือการกำหนดค่าบริการเมช (service mesh) ที่ไม่ปลอดภัย พวกเขาจะสามารถส่งคำขอไปยัง endpoint GenerateManifest ได้โดยตรง การเข้าถึงนี้ทำให้ pod ที่โจมตีเป็นเทียบเท่ากับผู้ใช้ที่ได้รับการยืนยันตัวตนแล้วในระบบ

เมื่อผู้โจมตีได้รับข้อมูลแคชจาก Redis พวกเขาสามารถแก้ไขข้อมูลเพื่อให้ Argo CD ทำการปรับใช้มานิฟีสต์ที่มีโค้ดอันตรายโดยอัตโนมัติ หากเปิดใช้งาน Auto Sync ระบบจะทำการซิงค์โดยอัตโนมัติและทำให้โค้ดอันตรายเข้าสู่คลัสเตอร์ หากไม่เปิดใช้งาน ผู้โจมตีจะต้องรอให้ผู้ดูแลหรือผู้ใช้ทำการซิงค์ด้วยตนเอง ซึ่งยังคงเป็นช่องโหว่ที่สำคัญ

ตามข้อมูลที่เผยแพร่เมื่อ 1 กรกฎาคม 2024 นี้ ช่องโหว่ยังไม่มีการอัปเดตแพตช์ใด ๆ บริษัท Synacktiv แนะนำให้ใช้ Kubernetes network policies อย่างเคร่งครัดเพื่อบล็อกการเข้าถึงบริการ repo‑server และ Redis จาก pod ที่ไม่ได้รับการยอมรับ

Recommendations for CISOs

สำหรับผู้บริหารด้านความปลอดภัย (CISOs) ควรประเมินความเสี่ยงโดยมองที่การเชื่อมต่อภายใน (east‑west traffic) มากกว่าการเปิดเผยต่ออินเทอร์เน็ต คำแถลงของ Devashri Datta ระบุว่า “เนื่องจากบริการ gRPC ของ repo‑server ไม่ได้บังคับใช้การตรวจสอบสิทธิ์ ใบใด ๆ ที่สามารถเข้าถึงได้ก็เทียบเท่ากับผู้โจมตีที่ได้รับการยืนยันตัวตนแล้ว”

การประเมินควรพิจารณาประเด็นต่อไปนี้

• ตรวจสอบว่ามี network policies ที่จำกัดการเข้าถึงพอร์ต gRPC และ Redis จาก pod ที่ไม่ใช่ระบบควบคุม (control‑plane) หรือไม่
• ตรวจสอบว่ามีการใช้ PodSecurityPolicies หรือ OPA Gatekeeper เพื่อบังคับใช้ข้อจำกัดการสื่อสารระหว่าง workload หรือไม่
• พิจารณาการปิดการใช้งานฟีเจอร์ Auto Sync จนกว่าจะมีการอัปเดตแพตช์อย่างเป็นทางการ

Sakshi Grover จาก IDC Asia/Pacific เน้นว่าการมองว่า “ไม่เปิดเผยต่ออินเทอร์เน็ต = ความเสี่ยงต่ำ” เป็นการเข้าใจผิด ควรประเมินเส้นทางการโจมตีภายในคลัสเตอร์และความสัมพันธ์ความเชื่อใจระหว่าง workload ต่าง ๆ

Strategic Implications

ช่องโหว่นี้ชี้ให้เห็นว่าแพลตฟอร์ม GitOps ทำหน้าที่เป็น tier‑0 control‑plane component ที่ควบคุมการส่งมอบซอฟต์แวร์ทั่วทั้งองค์กร Datta ชี้ว่า Argo CD มีการเข้าถึง private repositories, สิทธิ์ sync/write ไปยังคลัสเตอร์เป้าหมาย และการจัดการ secrets ที่สำคัญ การถูกโจมตีอาจทำให้ผู้โจมตีใช้ระบบนี้เป็นช่องทางในการส่งมานิฟีสต์อันตราย ไปสู่การปรับใช้แอปพลิเคชันหลาย ๆ ตัวพร้อมกัน

ผลกระทบที่อาจเกิดขึ้นรวมถึง

• การขโมยข้อมูลลับที่เก็บใน Redis หรืออื่น ๆ ที่ Argo CD ใช้เป็นแคช
• การแทรกโค้ดอันตรายในกระบวนการ Auto Sync ทำให้เกิดการขยายผลของการโจมตีอย่างรวดเร็ว
• การทำลายความเชื่อถือในกระบวนการ GitOps ซึ่งอาจบังคับให้องค์กรต้องทบทวนแนวทางการจัดการสิทธิ์และการตรวจสอบการเข้าถึงของเครื่องมือควบคุมการส่งมอบ

ดังนั้น การจัดการและกำกับดูแลแพลตฟอร์ม GitOps ควรอยู่ในระดับเดียวกับระบบจัดการอัตลักษณ์ (identity platforms) หรือระบบจัดการโครงสร้างพื้นฐานที่สำคัญอื่น ๆ เพื่อให้มีการควบคุมการเข้าถึงและการตรวจสอบที่เข้มงวด

Summary

ช่องโหว่ใน repo‑server ของ Argo CD ทำให้ผู้โจมตีภายในคลัสเตอร์สามารถรันโค้ดและปรับเปลี่ยนการปรับใช้ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ การประเมินความเสี่ยงควรมองที่การเชื่อมต่อภายในและการจัดการนโยบายเครือข่ายอย่างเคร่งครัด เนื่องจากแพลตฟอร์ม GitOps ทำหน้าที่เป็นส่วนควบคุมระดับ tier‑0 จึงจำเป็นต้องกำหนดการปกป้องและการควบคุมที่เข้มงวดเทียบเท่ากับระบบสำคัญอื่น ๆ.