CVE-2023-40584

Argo CD, Kubernetes için deklaratif bir sürekli dağıtım aracıdır. v2.4 sürümünden itibaren tüm ArgoCD sürümlerinde, ArgoCD repo-server bileşeninin Hizmet Reddi (Denial-of-Service) saldırı vektörüne karşı savunmasız olduğu bir hata bulunmaktadır. Spesifik olarak söz konusu bileşen, kullanıcı kontrollü bir tar.gz dosyasını içindeki dosyaların boyutunu doğrulamadan ayıklamaktadır. Sonuç olarak, düşük yetkili kötü niyetli bir kullanıcı, bu zafiyeti istismar eden kötü amaçlı bir tar.gz dosyasını repo-server'a göndererek sistemin işlevselliğine ve erişilebilirliğine zarar verebilir. Ek olarak repo-server, ayıklanan dosya izinlerini silmeye çalışmadan önce kontrol etmediği için başka bir zafiyete daha sahiptir. Sonuç olarak bir saldırgan, manifest oluşturma işlemi tamamlandığında iç dosyaların silinmesini engelleyecek şekilde kötü amaçlı bir tar.gz arşivi hazırlayabilir. Bu zafiyet için 2.6.15, 2.7.14 ve 2.8.3 sürümlerinde bir yama yayınlanmıştır. Kullanıcıların yükseltme yapmaları önerilir. Sorunu tamamen çözmenin tek yolu yükseltme yapmaktır; ancak yükseltme yapamayan kullanıcılar RBAC (Rol Tabanlı Erişim Kontrolü) yapılandırmalı ve uygulama yapılandırma erişimini yalnızca sınırlı sayıda yöneticiye vermelidir. Bu yöneticiler güvenilir ve doğrulanmış Helm chart'larını kullanmalıdır.