« Les RSSI devraient donc évaluer quelles charges de travail peuvent communiquer avec le plan de contrôle Argo CD, si le trafic est-ouest est correctement segmenté et s’il existe des relations de confiance inutiles entre les charges de travail des applications et l’infrastructure GitOps », a déclaré Grover. « L’évaluation devrait se concentrer sur les voies d’attaque plutôt que sur l’exposition du périmètre. »
Traiter GitOps comme un niveau zéro
La faille souligne également le rôle que jouent les plateformes GitOps dans le contrôle du déploiement de logiciels sur l’infrastructure de l’entreprise.
« Les moteurs GitOps ne sont pas des services utilitaires ; ce sont des composants de plan de contrôle de niveau 0 », a déclaré Datta. « De par sa conception, Argo CD détient un accès en lecture aux référentiels privés, un accès en synchronisation/écriture aux clusters cibles et la garde des secrets de déploiement. Il se situe à l’intersection précise du code source, de la gestion de la configuration et de l’infrastructure en direct. »
