BDU:2024-02250

Уязвимость функции expireOldFailedAttempts() декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-03-22

Описание

Уязвимость функции expireOldFailedAttempts() декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Argo CD (до 2.8.13)Argo CD (от 2.9.0 до 2.9.9)Argo CD (от 2.10.0 до 2.10.4)

Способ устранения

Использование рекомендаций:
https://github.com/argoproj/argo-cd/blob/54601c8fd30b86a4c4b7eb449956264372c8bde0/util/session/sessionmanager.go#L302-L311
https://github.com/argoproj/argo-cd/commit/2a22e19e06aaf6a1e734443043310a66c234e345
https://github.com/argoproj/argo-cd/commit/5bbb51ab423f273dda74ab956469843d2db2e208
https://github.com/argoproj/argo-cd/commit/ce04dc5c6f6e92033221ec6d96b74403b065ca8b
https://github.com/argoproj/argo-cd/releases

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/argoproj/argo-cd/blob/54601c8fd30b86a4c4b7eb449956264372c8bde0/util/session/sessionmanager.go#L302-L311 https://github.com/argoproj/argo-cd/commit/2a22e19e06aaf6a1e734443043310a66c234e345 https://github.com/argoproj/argo-cd/commit/5bbb51ab423f273dda74ab956469843d2db2e208 https://github.com/argoproj/argo-cd/commit/ce04dc5c6f6e92033221ec6d96b74403b065ca8b https://github.com/argoproj/argo-cd/security/advisories/GHSA-6v85-wr92-q4p7

Проверьте безопасность своего сайта и почты → Полная проверка домена