CVE-2025-59538
Açıklama
Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.9.0-rc1 ile 2.14.19, 3.0.0-rc1 ile 3.2.0-rc1, 3.1.6 ve 3.0.17 versiyonlarında, varsayılan yapılandırmada webhook.azuredevops.username ve webhook.azuredevops.password ayarlanmadığında, /api/webhook uç noktası, JSON dizisi resource.refUpdates boş olan bir Azure DevOps Push olayı aldığında tüm argocd-server işlemini çökertebilir. Dilim indeksi [0]'a uzunluk kontrolü yapılmadan erişilmesi, index-out-of-range paniğine neden olur. İşlemi durdurmak için tek bir kimlik doğrulanmamış HTTP POST isteği yeterlidir. Bu sorun 2.14.20, 3.2.0-rc2, 3.1.8 ve 3.0.19 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- argoproj argo_cd2.14.20, 3.0.19, 3.1.8 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v22.14.20 ya da sonraki bir sürüm
- github.com/argoproj/argo-cd/v33.2.0-rc2, 3.1.8, 3.0.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_cd | 2.9.0 ≤ v < 2.14.20, 3.0.0 ≤ v < 3.0.19, 3.1.0 ≤ v < 3.1.8, 3.2.0 | 2.14.20, 3.0.19, 3.1.8 |
| github.com/argoproj/argo-cd/v2Go | 2.9.0-rc1 ≤ v < 2.14.20 | 2.14.20 |
| github.com/argoproj/argo-cd/v3Go | 3.2.0-rc1 ≤ v < 3.2.0-rc2, 3.1.0-rc1 ≤ v < 3.1.8, 3.0.0-rc1 ≤ v < 3.0.19 | 3.2.0-rc2, 3.1.8, 3.0.19 |
| github.com/argoproj/argo-cdGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.