КиберосноваSGRC
BDU:2023-00882
Высокий

BDU:2023-00882: Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, связанная с недостатками процедуры авторизации, позволяющая нарушителю повысить свои привилегии

CVSS v39.1
CVSS v28.3
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2023-00882

Описание

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Что делать с BDU:2023-00882

Высокая уязвимость (CVSS 9.1) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.1Критический
Пересчитать →
v2
8.3
Только просмотр
AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HAV:N/AC:L/Au:M/C:C/I:C/A:C

CWE — тип уязвимости

CWE-863

CVE — международный идентификатор

CVE-2023-23947
CWE-863
Некорректная авторизация

Механизм авторизации реализован с ошибкой. Позволяет доступ к чужим данным или привилегированным функциям.

Как атакуют и что делать ▾

Сценарий атаки

Авторизация проверяется, но с ошибкой: IDOR — пользователь меняет /api/order/123 на /api/order/456 и видит чужой заказ.

Последствия

Доступ к чужим данным, горизонтальное повышение привилегий.

Рекомендации

Проверяйте владельца ресурса на сервере, используйте UUID вместо sequential ID.

Тактики и техники

Нарушение авторизации

Уязвимое ПО (7)

ВендорНазваниеВерсияПлатформа
Red Hat Inc.Red Hat OpenShift GitOps1.5Не указана
Red Hat Inc.Red Hat OpenShift GitOps1.7Не указана
The Linux FoundationArgo CDот 2.3.0 до 2.3.17Не указана
The Linux FoundationArgo CDот 2.4.0 до 2.4.23Не указана
The Linux FoundationArgo CDот 2.5.0 до 2.5.11Не указана
The Linux FoundationArgo CDот 2.6.0 до 2.6.2Не указана
Red Hat Inc.Red Hat OpenShift GitOps1.6Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - минимизация пользовательских привилегий; - изменение конфигурации RBAC для ограничения возможности пользователем обновления любого кластера. Проверить конфигурацию RBAC на наличие таких строк: p, role:developers, clusters, update, *, allow p, role:developers, clusters, *, *, allow p, role:developers, *, update, *, allow Отозвать clusters, update для любых пользователей, которым этот доступ не нужен; - ограничение управления ресурсами через AppProjects с использованием полей destinations и clusterResourceWhitelist. Использование рекомендаций производителя: Для Argo C: https://github.com/argoproj/argo-cd/commit/fbb0b99b1ac3361b253052bd30259fa43a520945 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2023-23947

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.1

Уточните SLA под вашу среду

Базовый балл 9.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации0.7%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-02-16

Опубликована

2023-02-28

Обновлена

2023-03-01

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-23947 MITRE: CWE-863 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-06624
Высокий
9.6

Уязвимость декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, связанная с неправильным межгр

BDU:2026-07866
Средний
6.1

Уязвимость пакета golang-x-image языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

BDU:2026-07251
Высокий
7.5

Уязвимость языка программирования Go, связанная с ошибками процедуры подтверждения подлинности сертификата, позволяющая

BDU:2026-07246
Высокий
7.5

Уязвимость языка программирования Go, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать

BDU:2026-07247
Средний
5.5

Уязвимость языка программирования Go, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0