CVE-2025-55190
Təsvir
Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. 2.13.0-dan 2.13.8-ə, 2.14.0-dan 2.14.15-ə, 3.0.0-dan 3.0.12-yə və 3.1.0-rc1-dən 3.1.1-ə qədər olan versiyalarda, layihə səviyyəli icazələri olan API tokenləri, hətta token yalnız standart tətbiq idarəetmə icazələrinə malik olduqda və sirlərə (secrets) açıq girişi olmadıqda belə, layihə detalları API son nöqtəsi vasitəsilə həssas repozitoriya etimad məlumatlarını (istifadəçi adları, şifrələr) əldə edə bilir. Bu zəiflik yalnız layihə səviyyəli icazələrə təsir etmir. Layihəni əldə etmə (`get`) icazəsi olan hər hansı bir token, o cümlədən `p, role/user, projects, get, *, allow` kimi qlobal icazələr də buna həssasdır. Bu problem 2.13.9, 2.14.16, 3.0.14 və 3.1.2 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- argoproj argo_cd2.13.9, 2.14.16, 3.0.14, 3.1.2 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v22.13.9, 2.14.16 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v33.0.14, 3.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_cd | 2.2.0 ≤ v < 2.13.9, 2.14.0 ≤ v < 2.14.16, 3.0.0 ≤ v < 3.0.14, 3.1.0 ≤ v < 3.1.2 | 2.13.9, 2.14.16, 3.0.14, 3.1.2 |
| github.com/argoproj/argo-cd/v2Go | 2.13.0 ≤ v < 2.13.9, 2.14.0 ≤ v < 2.14.16 | 2.13.9, 2.14.16 |
| github.com/argoproj/argo-cd/v3Go | v < 3.0.14, 3.1.0-rc1 ≤ v < 3.1.2 | 3.0.14, 3.1.2 |
| github.com/argoproj/argo-cdGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.