PT-2025-40034
CVE-2025-55191
·
تاريخ النشر
2025-09-30
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Argo CD من 2.1.0 إلى 2.14.19
إصدارات Argo CD من 3.0.0-rc1 إلى 3.0.18
إصدارات Argo CD من 3.1.0-rc1 إلى 3.1.7
إصدار Argo CD 3.2.0-rc1
الوصف
Argo CD، وهي أداة GitOps إعلانية للتسليم المستمر لـ Kubernetes، معرضة لحدوث حالة تنافس في معالج بيانات اعتماد المستودع الخاص بها. تحدث هذه الحالة عند تنفيذ عمليات متزامنة على نفس عنوان URL للمستودع، مما قد يتسبب في حدوث حالة ذعر (panic) وفشل خادم Argo CD. تكمن المشكلة في معالجات متعلقة بالمستودع داخل الملف
util/db/repository secrets.go، وتحديدًا في وظائف مثل secretToRepoCred. ينشأ التنافس على الموارد من الوصول المتزامن إلى قوائم الخرائط دون الحماية المناسبة بواسطة الموتكس (mutex)، ويحدث ذلك نتيجة لعمليات بيانات اعتماد المستودع (إنشاء أو تحديث أو حذف) جنبًا إلى جنب مع عمليات إعادة مزامنة مُبلغ Kubernetes والمراقبين في الخلفية. يتطلب استغلال هذه الثغرة رمز API صالحًا مع أذونات المورد repositories، مما يسمح للمهاجمين بتكرار تشغيل هذه الحالة والحفاظ على حالة رفض الخدمة، مما يؤدي إلى تعطيل عمليات GitOps.التوصيات
قم بالتحديث إلى الإصدار 2.14.20 أو أحدث من Argo CD.
قم بالتحديث إلى الإصدار 3.0.19 أو أحدث من Argo CD.
قم بالتحديث إلى الإصدار 3.1.8 أو أحدث من Argo CD.
قم بالتحديث إلى الإصدار 3.2.0-rc2 أو أحدث من Argo CD.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾