КиберосноваSGRC
BDU:2022-04887
Критический
Эксплойт

BDU:2022-04887: Уязвимость инструмента автоматизации развертывания приложений в Kubernetes ArgoCD, связанная с ошибками процедуры подтверждения подлинности сертификата, позволяющая нарушителю проводить спуфинг-атаки

CVSS v39.6
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2022-04887

Описание

Уязвимость инструмента автоматизации развертывания приложений в Kubernetes ArgoCD связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки

Что делать с BDU:2022-04887

Критическая уязвимость (CVSS 9.6) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.6Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-295
CWE-599

CVE — международный идентификатор

CVE-2022-31105
CWE-295
Некорректная проверка сертификатов

Программа не проверяет или неправильно проверяет SSL/TLS-сертификаты. Позволяет атаку «человек посередине».

Как атакуют и что делать ▾

Сценарий атаки

Приложение не проверяет SSL-сертификат сервера (verify=False). Атакующий в той же сети перехватывает трафик (MITM).

Последствия

Перехват credentials, данных, модификация трафика.

Рекомендации

Всегда проверяйте сертификаты, используйте certificate pinning для критичных соединений.

Тактики и техники

Подмена при взаимодействии

Уязвимое ПО (3)

ВендорНазваниеВерсияПлатформа
The Linux FoundationArgo CDот 0.4.0 до 2.2.11Не указана
The Linux FoundationArgo CDот 2.3.0 до 2.3.6Не указана
The Linux FoundationArgo CDот 2.4.0 до 2.4.5Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Обновление программного обеспечения до версий 2.2.11, 2.3.6, 2.4.5 и выше Компенсирующие меры: - установить поле oidc.config.rootCA в argocd-cm ConfigMap.

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.6

Уточните SLA под вашу среду

Базовый балл 9.6 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации0.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2022-07-12

Опубликована

2022-08-10

Обновлена

2022-08-10

Эксплойт

Существует

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2022-31105 MITRE: CWE-295 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2025-14350
Высокий
9.9

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, связанная с недостаточной защи

BDU:2025-06327
Высокий
9.0

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, связанная с непринятием мер по

BDU:2024-05674
Высокий
7.5

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нарушителю вызвать

BDU:2024-05960
Средний
4.7

Уязвимость веб-терминала декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нару

BDU:2024-05984
Средний
5.3

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, связанная с недостатками проце

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0