Se ha descubierto una vulnerabilidad crítica en Argo CD que permite a tokens de API con permisos limitados acceder a credenciales sensibles de repositorios, incluyendo nombres de usuario y contraseñas en texto plano. El fallo, ubicado en el endpoint /api/v1/projects/{project}/detailed, compromete la seguridad de pipelines CI/CD al ignorar verificaciones de autorización.
🔍 ¿Cómo funciona el ataque?
-
Token vulnerable: Cualquier token con permisos
geta nivel de proyecto (ej: roles estándar de aplicaciones). -
Explotación simple:
-
Ejecutar una solicitud GET autenticada al endpoint
detaileddel proyecto. -
La respuesta JSON incluye credenciales en texto plano en el objeto
repositories.
-
-
Impacto:
-
Robo de código fuente.
-
Inyección de código malicioso en pipelines.
-
Compromiso de infraestructura de desarrollo.
-
🛡️ Versiones parcheadas
Actualiza inmediatamente a una de estas versiones:
-
v3.1.2, v3.0.14, v2.14.16, o v2.13.9.
⚠️ Acciones recomendadas
-
Actualizar Argo CD: Usa las versiones parcheadas.
-
Rotar credenciales: Cambia todas las contraseñas de repositorios expuestas.
-
Auditar tokens: Revoca permisos innecesarios y aplica el principio de mínimo privilegio.
¿Eres administrador de Argo CD? ¡La actualización es urgente! Comparte esta alerta con tu equipo.
🔗 Detalles técnicos: Argo CD Security Advisory
Dato clave: El fallo afecta incluso a tokens con permisos globales básicos. ¡Verifica tus implementaciones! 🚨
