CVE-2025-55190
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.13.0 ile 2.13.8, 2.14.0 ile 2.14.15, 3.0.0 ile 3.0.12 ve 3.1.0-rc1 ile 3.1.1 arasındaki sürümlerde, proje düzeyinde izinlere sahip API token'ları; token yalnızca standart uygulama yönetim izinlerine sahip olduğunda ve gizli verilere açık erişimi olmadığında bile, proje detayları API uç noktası üzerinden hassas depo kimlik bilgilerini (kullanıcı adları, parolalar) alabilmektedir. Bu güvenlik açığı sadece proje düzeyi izinleri etkilememektedir. `p, role/user, projects, get, *, allow` gibi küresel izinler de dahil olmak üzere, proje getirme izinlerine sahip herhangi bir token da risk altındadır. Bu sorun 2.13.9, 2.14.16, 3.0.14 ve 3.1.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- argoproj argo_cd2.13.9, 2.14.16, 3.0.14, 3.1.2 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.13.9, 2.14.16 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v33.0.14, 3.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.2.0 ≤ v < 2.13.9, 2.14.0 ≤ v < 2.14.16, 3.0.0 ≤ v < 3.0.14, 3.1.0 ≤ v < 3.1.2 | 2.13.9, 2.14.16, 3.0.14, 3.1.2 |
| github.com/argoproj/argo-cd/v2Go | 2.13.0 ≤ v < 2.13.9, 2.14.0 ≤ v < 2.14.16 | 2.13.9, 2.14.16 |
| github.com/argoproj/argo-cd/v3Go | v < 3.0.14, 3.1.0-rc1 ≤ v < 3.1.2 | 3.0.14, 3.1.2 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.