CVE-2026-24748
Təsvir
Kargo proqram təminatı artefaktlarının təşviqini idarə edir və avtomatlaşdırır. Versiyalar 1.8.7, 1.7.7 və 1.6.3-dən əvvəlki versiyalarda `GetConfig()` API son nöqtəsində (endpoint) autentifikasiya yoxlamaları ilə bağlı bir xəta aşkar edilmişdir. Bu, autentifikasiya olunmamış istifadəçilərə, etibarlılığından asılı olmayaraq, hər hansı boş olmayan `Bearer` token dəyəri ilə `Authorization` başlığını (header) təyin etməklə bu son nöqtəyə daxil olmağa imkan verirdi. Bu zəiflik qoşulmuş Argo CD klasterlərinin son nöqtələri kimi konfiqurasiya məlumatlarının sızdırılmasına şərait yaradırdı. Bu məlumatlar hücumçuya sonrakı hücumlarda istifadə etmək üçün klaster URL-lərinə və namespace-lərə dair siyahı çıxarmağa imkan verə bilərdi. Əlavə olaraq, eyni xəta `RefreshResource` son nöqtəsinə də təsir etmişdir. Bu son nöqtə heç bir məlumat sızmasına səbəb olmasa da, autentifikasiya olunmamış hücumçu tərəfindən Kargo API-na qarşı xidmətdən imtina (DoS) tipli hücum həyata keçirmək üçün istifadə edilə bilərdi. `RefreshResource` uzlaşdırmaları (reconciliations) tetikləmək üçün müəyyən Kubernetes resurslarında annotasiya təyin edir. Daimi dövr şəklində işlədilərsə, bu, Kubernetes API serverinə gələn legitim sorğuları da ləngidə bilərdi. Bu problem Kargo versiyaları 1.8.7, 1.7.7 və 1.6.3-də aradan qaldırılmışdır. Bu problem üçün heç bir alternativ həll yolu (workaround) mövcud değildir.
Necə düzəltmək olar
- akuity kargo1.6.3, 1.7.7, 1.8.7 və ya daha yeni versiya
- github.com/akuity/kargo1.6.3, 1.7.7, 1.8.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| akuity kargo | v < 1.6.3, 1.7.0 ≤ v < 1.7.7, 1.8.0 ≤ v < 1.8.7 | 1.6.3, 1.7.7, 1.8.7 |
| github.com/akuity/kargoGo | v < 1.6.3, 1.7.0-rc.1 ≤ v < 1.7.7, 1.8.0-rc.1 ≤ v < 1.8.7 | 1.6.3, 1.7.7, 1.8.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.