Un port gRPC interne mal gardé, et voilà un attaquant qui exécute ses commandes comme s’il était chez lui. C’est en substance ce que décrit Synacktiv à propos d’Argo CD, l’outil de déploiement continu (GitOps) très populaire dans l’écosystème Kubernetes. La faille touche le composant repo-server, cœur du système qui compile et rend les manifestes applicatifs.
Points clés
- Le repo-server d’Argo CD exécute des commandes pour tout attaquant atteignant son port gRPC interne.
- La faille n’est pas corrigée à ce jour.
- Les network policies restreignant l’accès au port gRPC constituent la principale parade.
Un port interne trop bavard
Selon Synacktiv, tout attaquant capable d’atteindre le port gRPC interne du repo-server d’Argo CD peut y faire exécuter des commandes. En clair, ce composant censé rester tapi dans l’intimité du cluster fait confiance à quiconque parvient à lui parler. Une fois cette porte poussée, l’escalade vers une prise de contrôle du cluster Kubernetes n’est plus qu’une formalité.
Pas de correctif, mais une parade
Le problème n’est à ce jour pas corrigé. La défense principale recommandée repose sur les network policies : cloisonner le trafic pour que seul le serveur d’API d’Argo CD puisse dialoguer avec le repo-server, et personne d’autre. Une hygiène réseau élémentaire, qui rappelle qu’un composant interne laissé accessible sur le réseau du cluster n’est pas un détail d’architecture.
La consigne vaut pour tous les administrateurs Kubernetes qui font tourner Argo CD : vérifiez qui peut réellement joindre ce port gRPC avant qu’un intrus ne le fasse à votre place.
