CVE-2025-55191
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.1.0 ile 2.14.19 arasındaki sürümler, 3.2.0-rc1, 3.1.0-rc1'den 3.1.7'ye kadar olan sürümler ve 3.0.0-rc1'den 3.0.18'e kadar olan sürümler, aynı depo URL'si üzerinde eşzamanlı işlemler gerçekleştirildiğinde Argo CD sunucusunun paniklemesine ve çökmesine neden olabilen bir yarış durumu (race condition) içermektedir. Zafiyet, util/db/repository_secrets.go dosyasındaki çok sayıda depo ilgili işleyicide bulunmaktadır. Yarış durumunu tetiklemek için depolar kaynağı izinlerine (oluşturma, güncelleme veya silme işlemleri) sahip geçerli bir API belirteci gereklidir. Bu zafiyet, tüm Argo CD sunucusunun çökmesine ve erişilemez hale gelmesine neden olur. Saldırganlar, hizmet reddi (DoS) durumunu sürdürmek için yarış durumunu tekrar tekrar ve sürekli olarak tetikleyerek tüm GitOps operasyonlarını aksatabilirler. Bu sorun 2.14.20, 3.2.0-rc2, 3.1.8 ve 3.0.19 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- argoproj argo_cd2.14.20, 3.0.19, 3.1.8 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.14.20 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v33.2.0-rc2, 3.1.8, 3.0.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.1.0 ≤ v < 2.14.20, 3.0.0 ≤ v < 3.0.19, 3.1.0 ≤ v < 3.1.8, 3.2.0 | 2.14.20, 3.0.19, 3.1.8 |
| github.com/argoproj/argo-cd/v2Go | 2.1.0 ≤ v < 2.14.20 | 2.14.20 |
| github.com/argoproj/argo-cd/v3Go | 3.2.0-rc1 ≤ v < 3.2.0-rc2, 3.1.0-rc1 ≤ v < 3.1.8, 3.0.0-rc1 ≤ v < 3.0.19 | 3.2.0-rc2, 3.1.8, 3.0.19 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.