CVE-2023-25163

Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. v2.6.0-rc1 ile başlayan tüm Argo CD sürümleri, hata mesajlarında depo erişim kimlik bilgilerini sızdıran bir çıktı temizleme hatasına sahiptir. Bu hata mesajları kullanıcı tarafından görülebilir ve günlüklere kaydedilir. Hata mesajı, bir kullanıcının Argo CD API'si (ve dolayısıyla kullanıcı arayüzü veya CLI) aracılığıyla bir Application oluşturmaya veya güncellemeye çalıştığında görünür. Kullanıcının, hatayı üretebilecek koda ulaşabilmesi için `applications, create` veya `applications, update` RBAC erişimine sahip olması gerekir. Kullanıcının hata mesajını tetikleyebileceği garanti edilmemektedir. Üst akış deposundan bir hız sınırlama (rate limit) hatası tetiklemek için API'ye çok sayıda istek göndermeyi deneyebilirler. Eğer kullanıcı `repositories, update` erişimine sahipse, mevcut bir depoyu düzenleyerek bir URL yazım hatası ekleyebilir veya başka bir şekilde bir hata mesajını zorlayabilir; ancak bu düzeyde erişime sahiplerse, muhtemelen zaten kimlik bilgilerine erişim yetkilerinin olması amaçlanmıştır. Bu güvenlik açığı için yama sürüm 2.6.1'de yayınlanmıştır. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.