CVE-2023-40025
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. Argo CD'nin 2.6.0 sürümünden itibaren tüm sürümlerinde, açık web terminal oturumlarının süresinin dolmadığı bir hata bulunmaktadır. Bu hata, token süresi dolmuş olsa bile kullanıcıların herhangi bir websocket mesajı göndermesine olanak tanır. En belirgin senaryo, bir kullanıcının terminal görünümünü açması ve uzun bir süre açık bırakmasıdır. Bu durum, kullanıcının oturumu çoktan kapatılmış olması gerektiği halde hassas bilgileri görüntülemesine izin verir. Bu güvenlik açığına yönelik yama şu Argo CD sürümlerinde yayınlanmıştır: 2.6.14, 2.7.12 ve 2.8.1.
Nasıl düzeltilir
- github.com/argoproj/argo-cd/v22.6.14, 2.7.12, 2.8.1, 2.0.0-20230821201509-e047efa8f951 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.6.0 ≤ v ≤ 2.6.13, 2.7.11, 2.8.0 | — |
| github.com/argoproj/argo-cd/v2Go | 2.6.0 ≤ v < 2.6.14, 2.7.0 ≤ v < 2.7.12, 2.8.0 ≤ v < 2.8.1, 2.0.0-20230718200744-12a5a7a70d6e ≤ v < 2.0.0-20230821201509-e047efa8f951 | 2.6.14, 2.7.12, 2.8.1, 2.0.0-20230821201509-e047efa8f951 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.