ZoomEye taraması 62.236 açıkta olan Argo CD örneği buldu; belgelenen 8080 portunda yalnızca 497'si çalışıyor

dev.to üzerinde yayımlanan internet geneli bir ölçüm, genel internetten erişilebilen 62.236 Argo CD kurulumu saydı — ve bunlardan yalnızca 497'sinin, yani yüzde birin altındaki kısmın, projenin kendi başlangıç kılavuzunda kullanılan 8080 portunda yanıt verdiğini ortaya koydu. Gönderiye göre sorgular 26 Ekim 2026'da ZoomEye arama motoruna karşı çalıştırıldı ve gerçek dünyadaki dağıtım pratiklerinin belgelenmiş varsayılanlardan ne kadar uzaklaşabileceğini gözler önüne seriyor.

Tarama neyi ölçtü

Öyküyü dört sayı taşıyor. Ürün parmak izi 62.236 ana makineyle eşleşti ve HTML başlığında ürün adı geçen sayfalar için yapılan ayrı bir sorgu tam olarak aynı sayıyı döndürdü. 30.239 ana makine daha sertifika içeriğiyle eşleşti, 25.079'u parmak izini 443 portundaki HTTPS ile birleştirdi ve yalnızca 497'si bunu 8080 portu ile birleştirdi. Kıyas için, toplamda 55.159.205 ana makine 8080 portunda yanıt veriyor.

Yazar, parmak izi ve başlık sayılarının örtüşmesinin, sınıflandırma kuralının fiilen sayfa başlığından türetildiğine işaret ettiğini belirtiyor. Bu, ölçümü içsel olarak tutarlı kılıyor ama kırılganlaştırıyor: başlığı değiştiren gelecekteki bir sürüm ya da başlığı yeniden yazan bir login proxy'sinin arkasına gizlenen bir kurulum sayımın radarına takılmaz. Dolayısıyla sayı, yazılımı çalıştıran her ana makineden ziyade Argo CD sayfası sunan ana makineleri tanımlıyor.

Belgelenen port neden neredeyse boş

Gönderi, 497 sayısını iki rutin dağıtım desenine bağlıyor. Çoğu Argo CD kurulumu TLS'li bir Kubernetes ingress üzerinden yayımlanıyor; böylece cluster içi manifest'in dinlediği port hiçbir zaman internete ulaşmıyor — dış dünyanın gördüğü 443. Diğerleri ise sunucuyu TLS'i bir load balancer'da sonlandıracak şekilde çalıştırıyor ve bu da yine 443'e düşüyor. 443 portunda yanıt veren, toplamın yaklaşık yüzde 40'ı olan 25.079 ana makine bu tabloya uyuyor.

Geriye kalan ana makineler — 25.079 ile 62.236 arasındaki fark — ya başka bir portta yanıt veriyor ya da sorguların dokunduğu indeks alanlarında kayıtlı port verisi bulunmuyor.

Çıplak port sayısı, port bazlı taramanın neden iki yönde de başarısız olduğunu açıklıyor. 8080 portunda, ağırlıklı olarak uygulama sunucuları, geliştirme örnekleri ve cihazlardan oluşan 55 milyon ana makine varken, açık bir 8080 portunun ardında ne çalıştığı hakkında neredeyse hiçbir şey söylemiyor. Ve yazarın hesapladığına göre, 8080'i özellikle Argo CD için taramak, gerçek popülasyonun yüzde 99,2'sini kaçırırdı.

Açığa çıkan durum bir panelden daha ciddi

Argo CD pasif bir görüntüleyici değil. Gönderiye göre bir örnek, yönettiği her cluster için kimlik bilgilerini barındırıyor ve kullanıcı arayüzü — login'i reddeden sunucularda bile — repository URL'lerini, hedef cluster'ları ve namespace'leri listeliyor; bu da fiilen teslimat hattının bir haritası. Repository kimlik bilgileri, cluster bearer token'ları ve SSO client secret'ları Argo CD namespace'i içindeki Kubernetes Secrets'ta duruyor.

Varsayılan kurulum ayrıca ilk admin parolasını sunucu pod'unun adından türetiyor; operatörlere bu parolayı alıp değiştirmeleri söyleniyor ve bu adımı atlayan bir kurulum tahmin edilebilir bir kimlik bilgisiyle baş başa kalıyor. SSO yapılandırılmadığında yerel admin hesabı tek kapıdır ve izinleri sınırsızdır. Bu durumda internete açık bir örnek, saldırgana cluster'ı gören bir pencere değil, cluster'ın kontrolünü teslim eder.

Kendi kurulumunuzu kontrol etme

Gönderi kısa bir kontrol listesiyle bitiyor. Sunucunun TLS'li bir ingress arkasında olduğunu ve 8080'e doğrudan erişilemediğini doğrulayın. Üretilen admin parolasının değiştirildiğini ya da SSO yapılandırıldığında yerel login'in devre dışı bırakıldığını teyit edin. Erişilebilir bir arayüz, login'leri reddetse bile varlığı ortaya çıkardığından, arayüzün hangi cluster'ları ve repository'leri açığa çıkardığını gözden geçirin. Son olarak, sunucunun RBAC'ını kısıtlayın; böylece kimliği doğrulanmış bir hesap otomatik olarak cluster-admin sahip olmasın.

Neden önemli

Manşetteki bulgu, belgelerle gerçeklik arasında iki büyüklük mertebesi farkı: belgelenmiş port üzerine kurulu herhangi bir varlık envanteri, saldırı yüzeyi haritası veya güvenlik açlığı taraması, yaklaşık 62.000 sistem varken kabaca 500 sistem sayacaktır. İnternete açık Argo CD bulmak için port taraması değil, ürün parmak izi gerekir. Popülasyon sayısı kendi başına da önemli; çünkü açıkta olan her örnek, cluster kimlik bilgilerini, hattın metadata'sını ve ayrıcalıklı bir admin hesabını tek bir login'in arkasında topluyor — bu da aynı ayak izine sahip bir izleme aracına kıyasla çok daha büyük bir etki alanı demek.