CVE-2025-59538
Təsvir
Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. Versiyalar 2.9.0-rc1-dən 2.14.19-a qədər, 3.0.0-rc1-dən 3.2.0-rc1-ə qədər, həmçinin 3.1.6 və 3.0.17 versiyalarında, standart konfiqurasiyada webhook.azuredevops.username və webhook.azuredevops.password təyin edilmədikdə, /api/webhook son nöqtəsi (endpoint), JSON massivindəki resource.refUpdates boş olan bir Azure DevOps Push hadisəsi aldıqda bütün argocd-server prosesini çökdürür. Uzunluq yoxlanışı olmadan slice index [0]-a müraciət edilir ki, bu da index-out-of-range panikasına səbəb olur. Prosesi dayandırmaq üçün tək bir autentifikasiya olunmamış HTTP POST sorğusu kifayətdir. Bu problem 2.14.20, 3.2.0-rc2, 3.1.8 və 3.0.19 versiyalarında həll edilmişdir.
Necə düzəltmək olar
- argoproj argo_cd2.14.20, 3.0.19, 3.1.8 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v22.14.20 və ya daha yeni versiya
- github.com/argoproj/argo-cd/v33.2.0-rc2, 3.1.8, 3.0.19 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_cd | 2.9.0 ≤ v < 2.14.20, 3.0.0 ≤ v < 3.0.19, 3.1.0 ≤ v < 3.1.8, 3.2.0 | 2.14.20, 3.0.19, 3.1.8 |
| github.com/argoproj/argo-cd/v2Go | 2.9.0-rc1 ≤ v < 2.14.20 | 2.14.20 |
| github.com/argoproj/argo-cd/v3Go | 3.2.0-rc1 ≤ v < 3.2.0-rc2, 3.1.0-rc1 ≤ v < 3.1.8, 3.0.0-rc1 ≤ v < 3.0.19 | 3.2.0-rc2, 3.1.8, 3.0.19 |
| github.com/argoproj/argo-cdGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.