CVE-2024-29893
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. v2.4 sürümünden başlayan tüm ArgoCD versiyonlarında, ArgoCD repo-server bileşeninin Hizmet Reddi (Denial-of-Service) saldırı vektörüne karşı savunmasız olduğu bir hata bulunmaktadır. Spesifik olarak, bileşenin kötü amaçlı bir Helm kayıt defterine yönlendirilmesiyle bellek yetersizliği (out of memory) hatası üzerinden repo-server bileşeninin çökertilmesi mümkündür. ArgoCD'nin helm paketindeki loadRepoIndex() fonksiyonu, verileri getirirken boyut veya süre sınırı koymamaktadır. Veriyi tek seferde getirir ve alınan veriden bir bayt dilimi oluşturur. Eğer kayıt defteri verileri sürekli gönderecek şekilde yapılandırılmışsa, repo server bellek tükenene kadar bellek tahsis etmeye devam edecektir. Bu güvenlik açığı için v2.10.3, v2.9.8 ve v2.8.12 sürümlerinde bir yama yayınlanmıştır.
Nasıl düzeltilir
- argoproj argo_cd2.8.14, 2.9.10, 2.10.5 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.8.14, 2.9.10, 2.10.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.4.0 ≤ v < 2.8.14, 2.9.0 ≤ v < 2.9.10, 2.10.0 ≤ v < 2.10.5 | 2.8.14, 2.9.10, 2.10.5 |
| github.com/argoproj/argo-cd/v2Go | 2.4.0 ≤ v < 2.8.14, 2.9.0 ≤ v < 2.9.10, 2.10.0 ≤ v < 2.10.5 | 2.8.14, 2.9.10, 2.10.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.