Krytyczna luka w argocd-mcp 0.8.0 umożliwiająca nieautoryzowany dostęp przez ARGOCD_API_TOKEN

Co wiadomo

W wersji 0.8.0 argocd-mcp wiąże swój transport HTTP do wszystkich interfejsów sieciowych i akceptuje sesje MCP bez weryfikacji poświadczeń, jeśli skonfigurowano ARGOCD_API_TOKEN. Atakujący mający dostęp do nasłuchującego portu mogą wykorzystać token operatora do pełnej kontroli nad zasobami Argo CD.

Wpływ biznesowy

Ta luka pozwala na nieautoryzowane tworzenie aplikacji, synchronizację oraz modyfikację zasobów Argo CD, co może prowadzić do poważnych naruszeń bezpieczeństwa i zakłóceń w działaniu środowiska CI/CD. Operatorzy infrastruktury powinni traktować tę lukę jako krytyczną i priorytetowo zabezpieczyć swoje systemy przed potencjalnym wykorzystaniem.

Rekomendowane działania administratora

Zaleca się natychmiastową weryfikację i aktualizację konfiguracji argocd-mcp, ograniczenie nasłuchu do zaufanych interfejsów sieciowych oraz przegląd i rotację tokenów ARGOCD_API_TOKEN. Dodatkowo warto monitorować logi pod kątem nieautoryzowanych prób dostępu i ograniczyć ekspozycję usług na zewnętrzne sieci. Wsparcie DataHouse obejmuje weryfikację wersji, zarządzane aktualizacje oraz pomoc w ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference
• Reference