手動による ArgoCD ネットワーク ポリシーの軽減策 (GHSA-47m3-95c7-g2g8)

手動の NetworkPolicy 緩和手順を使用した、Automation Suite の ArgoCD リポジトリ サーバーと Redis への非認証ネットワーク アクセス向けのソリューション

説明

ArgoCD repo-server コンポーネントに影響する脆弱性が先日公開されましたが、現時点では ArgoCD によって修正されていません。

ArgoCD repo-server (ポート 8081) と ArgoCD Redis は、クラスター ネットワーク内のどのポッドからでもアクセスできます。これは、既定でこれらのコンポーネントへのイングレスを制限するネットワーク ポリシーがないためです。その結果、ArgoCD はこれらの内部コンポーネントに対する認証を必要としないため、クラスター ネットワーク内の任意のポッドからこれらのポッドに直接接続できます。詳しくは、 GHSA-47m3-95c7-g2g8をご覧ください。

この問題を軽減するには、このページの「解決策」セクションで説明されているネットワーク ポリシーを手動で適用する必要があります。

前提条件

• この手順は、クラスターへの kubectl アクセス権を持つホストから実行します。
• この手順では、既定の Automation Suite argocd 名前空間を前提としています。ArgoCD で別の名前空間を使用する場合は、スクリプトを実行する前に ARGOCD_NS を設定します。
• この軽減策は、CNI (Container Network Interface) プラグインによって提供される Kubernetes NetworkPolicy の適用に依存しています。Amazon VPC CNI などの一部の CNI では、既定ではネットワークポリシーが適用されません。その場合、適用されたポリシーは無効です。クラスターでネットワーク ポリシーの適用が有効化されていることを確認します。手順については、CNI の公式ドキュメントをご覧ください。

解決策

1. 次のスクリプトを実行します。ArgoCD のリリースと Redis モード (スタンドアロンまたは高可用性、HA) を検出し、一致する NetworkPolicy を自動的に適用します。

   export ARGOCD_NS="${ARGOCD_NS:-argocd}"
   export ARGOCD_RELEASE="$(kubectl -n "$ARGOCD_NS" get pod -l app.kubernetes.io/name=argocd-server -o jsonpath='{.items[0].metadata.labels.app\.kubernetes\.io/instance}')"
   
   test -n "$ARGOCD_RELEASE" || { echo "Cannot detect Argo CD Helm release"; exit 1; }
   
   if kubectl -n "$ARGOCD_NS" get pod -l "release=${ARGOCD_RELEASE},app=redis-ha-haproxy" --no-headers 2>/dev/null | grep -q .; then
     REDIS_MODE=ha
   else
     REDIS_MODE=standalone
   fi
   
   echo "Argo CD namespace: $ARGOCD_NS"
   echo "Argo CD release: $ARGOCD_RELEASE"
   echo "Redis mode: $REDIS_MODE"
   
   cat <<EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: argocd-repo-server-manual-mitigation
     namespace: ${ARGOCD_NS}
   spec:
     podSelector:
       matchLabels:
         app.kubernetes.io/name: argocd-repo-server
         app.kubernetes.io/instance: ${ARGOCD_RELEASE}
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-server
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-application-controller
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-applicationset-controller
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-notifications-controller
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
         ports:
           - protocol: TCP
             port: 8081
       - from:
           - namespaceSelector: {}
         ports:
           - protocol: TCP
             port: 8084
   EOF
   
   if [ "$REDIS_MODE" = "ha" ]; then
     cat <<EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: argocd-redis-ha-server-manual-mitigation
     namespace: ${ARGOCD_NS}
   spec:
     podSelector:
       matchLabels:
         release: ${ARGOCD_RELEASE}
         app: redis-ha
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 release: ${ARGOCD_RELEASE}
                 app: redis-ha
           - podSelector:
               matchLabels:
                 release: ${ARGOCD_RELEASE}
                 app: redis-ha-haproxy
         ports:
           - protocol: TCP
             port: 6379
           - protocol: TCP
             port: 26379
   ---
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: argocd-redis-ha-haproxy-manual-mitigation
     namespace: ${ARGOCD_NS}
   spec:
     podSelector:
       matchLabels:
         release: ${ARGOCD_RELEASE}
         app: redis-ha-haproxy
         app.kubernetes.io/name: argocd-redis-ha-haproxy
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-server
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-repo-server
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-application-controller
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
         ports:
           - protocol: TCP
             port: 6379
   EOF
   else
     cat <<EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: argocd-redis-manual-mitigation
     namespace: ${ARGOCD_NS}
   spec:
     podSelector:
       matchLabels:
         app.kubernetes.io/name: argocd-redis
         app.kubernetes.io/instance: ${ARGOCD_RELEASE}
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-server
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-repo-server
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
           - podSelector:
               matchLabels:
                 app.kubernetes.io/name: argocd-application-controller
                 app.kubernetes.io/instance: ${ARGOCD_RELEASE}
         ports:
           - protocol: TCP
             port: 6379
       - from:
           - namespaceSelector: {}
         ports:
           - protocol: TCP
             port: 9121
   EOF
   fi
   

を検証

次のコマンドを実行して、軽減策が正常に適用されたことを確認します。

kubectl -n "$ARGOCD_NS" get networkpolicy
kubectl -n "$ARGOCD_NS" get pods
kubectl get applications.argoproj.io -A

以下を確認します。

• argocd-repo-server-manual-mitigation 存在します。
• Redis の HA には、 argocd-redis-ha-server-manual-mitigation と argocd-redis-ha-haproxy-manual-mitigation が存在します。
• スタンドアロンの Redis の場合、 argocd-redis-manual-mitigation 存在します。
• ArgoCD ポッドが Running または Completedである。
• ArgoCD アプリケーションは引き続きSyncedHealthy。

緩和策の確認

ポリシーを適用した後、これらのチェックを実行します。必要な ArgoCD トラフィックが引き続き機能すること、および許可されていないトラフィックがブロックされていることを確認します。

1. 以下のスクリプトを実行します。

   export ARGOCD_NS="${ARGOCD_NS:-argocd}"
   export ARGOCD_RELEASE="${ARGOCD_RELEASE:-$(kubectl -n "$ARGOCD_NS" get pod -l app.kubernetes.io/name=argocd-server -o jsonpath='{.items[0].metadata.labels.app\.kubernetes\.io/instance}')}"
   
   if kubectl -n "$ARGOCD_NS" get pod -l "release=${ARGOCD_RELEASE},app=redis-ha-haproxy" --no-headers 2>/dev/null | grep -q .; then
     REDIS_MODE=ha
   else
     REDIS_MODE=standalone
   fi
   
   SERVER_POD="$(kubectl -n "$ARGOCD_NS" get pod -l app.kubernetes.io/name=argocd-server -o jsonpath='{.items[0].metadata.name}')"
   APPSET_POD="$(kubectl -n "$ARGOCD_NS" get pod -l app.kubernetes.io/name=argocd-applicationset-controller -o jsonpath='{.items[0].metadata.name}' 2>/dev/null || true)"
   FAILED_CHECKS=""
   
   tcp_check() {
     pod="$1"
     host="$2"
     port="$3"
     expected="$4"
     name="$5"
   
     code="$(kubectl -n "$ARGOCD_NS" exec "$pod" -- sh -c '
       host="$1"
       port="$2"
       if command -v nc >/dev/null 2>&1; then
         timeout 5 nc -z -w 3 "$host" "$port" >/dev/null 2>&1
         printf "%s\n" "$?"
       elif command -v bash >/dev/null 2>&1; then
         timeout 5 bash -c "</dev/tcp/${host}/${port}" >/dev/null 2>&1
         printf "%s\n" "$?"
       else
         printf "%s\n" "NO_TCP_TOOL"
       fi
     ' sh "$host" "$port" 2>/dev/null | tail -n 1)"
   
     if [ "$expected" = "allow" ] && [ "$code" = "0" ]; then
       return
     elif [ "$expected" = "deny" ] && [ "$code" != "0" ] && [ "$code" != "NO_TCP_TOOL" ] && [ -n "$code" ]; then
       return
     else
       FAILED_CHECKS="${FAILED_CHECKS}
   - ${name}: expected ${expected}, got exit code ${code}"
     fi
   }
   
   tcp_check "$SERVER_POD" argocd-repo-server 8081 allow "argocd-server to repo-server:8081"
   
   if [ "$REDIS_MODE" = "ha" ]; then
     HAPROXY_POD="$(kubectl -n "$ARGOCD_NS" get pod -l "release=${ARGOCD_RELEASE},app=redis-ha-haproxy" -o jsonpath='{.items[0].metadata.name}')"
   
     tcp_check "$SERVER_POD" argocd-redis-ha-haproxy 6379 allow "argocd-server to redis-ha-haproxy:6379"
     tcp_check "$HAPROXY_POD" argocd-redis-ha 6379 allow "redis-ha-haproxy to redis-ha:6379"
     tcp_check "$HAPROXY_POD" argocd-repo-server 8081 deny "redis-ha-haproxy to repo-server:8081"
   
     if [ -n "$APPSET_POD" ]; then
       tcp_check "$APPSET_POD" argocd-redis-ha-haproxy 6379 deny "applicationset-controller to redis-ha-haproxy:6379"
     fi
   else
     REDIS_POD="$(kubectl -n "$ARGOCD_NS" get pod -l app.kubernetes.io/name=argocd-redis -o jsonpath='{.items[0].metadata.name}')"
   
     tcp_check "$SERVER_POD" argocd-redis 6379 allow "argocd-server to redis:6379"
     tcp_check "$REDIS_POD" argocd-repo-server 8081 deny "redis to repo-server:8081"
   
     if [ -n "$APPSET_POD" ]; then
       tcp_check "$APPSET_POD" argocd-redis 6379 deny "applicationset-controller to redis:6379"
     fi
   fi
   
   if [ -z "$FAILED_CHECKS" ]; then
     echo "MITIGATION CHECK: PASS"
   else
     echo "MITIGATION CHECK: FAIL"
     echo "$FAILED_CHECKS"
     exit 1
   fi
   

   期待される結果: MITIGATION CHECK: PASS

ロールバック

必要に応じて、以下の手順を実行して軽減策を解除します。

1. 手動による軽減策を削除します。

   kubectl -n "$ARGOCD_NS" delete networkpolicy \
     argocd-repo-server-manual-mitigation \
     argocd-redis-manual-mitigation \
     argocd-redis-ha-server-manual-mitigation \
     argocd-redis-ha-haproxy-manual-mitigation \
     --ignore-not-found
   

2. ロールバックが正常に完了したことを確認します。

   kubectl -n "$ARGOCD_NS" get networkpolicy
   kubectl -n "$ARGOCD_NS" get pods
   kubectl get applications.argoproj.io -A
   

   以下を確認します。

   • 手動の軽減策は削除されます。
   • ArgoCD ポッドは Running または Completedのままです。
   • ArgoCD アプリケーションは引き続きSyncedHealthy。