CVE-2024-21661
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.8.13, 2.9.9 ve 2.10.4 versiyonlarından önce, bir saldırgan uygulamadaki kritik bir açığı istismar ederek Hizmet Reddi (DoS) saldırısı başlatabilir; bu durum uygulamanın çalışamaz hale gelmesine neden olur ve tüm kullanıcıları etkiler. Sorun, çok iş parçacıklı (multi-threaded) bir ortamda bir dizinin güvenli olmayan şekilde manipüle edilmesinden kaynaklanmaktadır. Zafiyet, uygulamanın kodunda, bir dizi üzerinde yineleme yapılırken aynı zamanda dizinin değiştirilmesinden kaynaklanır. Bu klasik bir programlama hatasıdır ancak çok iş parçacıklı bir ortamda yürütüldüğünde kritik düzeyde güvensiz hale gelir. İki iş parçacığı aynı diziyle eş zamanlı olarak etkileşime girdiğinde uygulama çöker. Bu bir Hizmet Reddi (DoS) zafiyetidir. Herhangi bir saldırgan, uygulamayı sürekli olarak çökertebilir ve meşru kullanıcıların hizmete erişmesini imkansız hale getirebilir. Sorunun kimlik doğrulama gerektirmemesi, potansiyel saldırgan havuzunu genişleterek durumu daha da kötüleştirmektedir. 2.8.13, 2.9.9 ve 2.10.4 versiyonları bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- argoproj argo_cd2.8.13, 2.9.9, 2.10.4 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.8.13, 2.9.9, 2.10.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | v < 2.8.13, 2.9.0 ≤ v < 2.9.9, 2.10.0 ≤ v < 2.10.4 | 2.8.13, 2.9.9, 2.10.4 |
| github.com/argoproj/argo-cdGo | v ≤ 1.8.7 | — |
| github.com/argoproj/argo-cd/v2Go | v < 2.8.13, 2.9.0 ≤ v < 2.9.9, 2.10.0 ≤ v < 2.10.4 | 2.8.13, 2.9.9, 2.10.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.