무슨 일이 있었나
NVD는 2026년 8월 29일에 이 중요 취약점(CVSS 4.0 = 10.0)을 공개했습니다: AI 에이전트/자동화를 Argo CD의 GitOps 제어 평면에 연결하는 MCP 서버는 아웃바운드 Argo CD API 토큰이 구성될 때마다 인바운드 인증 없이 도구 표면을 노출하여, 네트워크에 접근 가능한 모든 사용자가 에이전트의 자신의 권한이 있는 자격증명을 통해 Argo CD를 완전히 제어할 수 있게 합니다.
왜 중요한가
이것은 전형적인 에이전트-권한 혼동 버그입니다: AI 에이전트가 CI/CD를 실행하도록 하도록 설계된 MCP 서버가 '에이전트가 행동할 수 있다'와 '에이전트에 도달할 수 있는 모든 사람이 행동할 수 있다'를 혼동합니다. 이 MCP 서버를 공유 네트워크 또는 CI 러너에 노출하는 모든 조직은 완전한 GitOps 인수를 부여합니다 — 공격자가 제어하는 매니페스트를 프로덕션 클러스터에 직접 동기화할 수 있습니다.
공격 경로
argocd-mcp 0.8.0은 HTTP 전송을 0.0.0.0(모든 인터페이스)에 바인딩하고, ARGOCD_API_TOKEN이 구성될 때, 호출자 자격증명을 검증하지 않고 네트워크에 접근 가능한 모든 호출자로부터 MCP 세션을 허용합니다. 리스너에 도달할 수 있는 인증되지 않은 공격자는 운영자의 저장된 Argo CD 토큰을 상속받고 전체 MCP 도구 표면을 호출할 수 있습니다 — 애플리케이션을 생성하고, 동기화를 요청하고, Argo CD 리소스를 수정할 수 있습니다.
영향받는 시스템
argocd-mcp (argoproj-labs/mcp-for-argocd) == 0.8.0
완화 방안
argocd-mcp 0.9.0+로 업그레이드합니다. HTTP 리스너를 기본적으로 루프백(127.0.0.1)에 바인딩하고, 앞에 인증하는 역프록시를 배치하고, DNS 리바인딩 보호를 통해 허용된 호스트/출처를 적용하고, 인바운드 MCP-호출자 정체성과 아웃바운드 Argo CD 자격증명을 별도의 신뢰 도메인으로 취급합니다.