PT-2025-40057
CVE-2025-59538
·
تاريخ النشر
2025-09-30
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo CD من 2.9.0-rc1 حتى 2.14.19
إصدارات Argo CD من 3.0.0-rc1 حتى 3.2.0-rc1
إصدار Argo CD 3.1.6
إصدار Argo CD 3.0.17
الوصف
Argo CD، وهي أداة GitOps إعلانية للتسليم المستمر لـ Kubernetes، معرضة لمشكلة رفض الخدمة. عندما لا يتم تعريف
webhook.azuredevops.username وwebhook.azuredevops.password في التكوين الافتراضي، تتسبب نقطة النهاية /api/webhook في تعطل عملية argocd-server بالكامل عند تلقي حدث Push من Azure DevOps مع مصفوفة JSON resource.refUpdates فارغة. ويحدث ذلك لأن الكود يحاول الوصول إلى العنصر الأول ([0]) من شريحة resource.refUpdates دون التحقق من طولها، مما يؤدي إلى حدوث خطأ «panic» بسبب مؤشر خارج النطاق. ويكفي إرسال طلب HTTP POST واحد غير مصدق إلى نقطة النهاية /api/webhook لإيقاف العملية. يوجد الكود المعرض للخطر في util/webhook/webhook.go حوالي السطر 147، وتحديدًا عند تحليل معلومات المراجعة. تظهر المشكلة عندما يكون المصفوف refUpdates فارغًا، مما يتسبب في حدوث خطأ «panic» أثناء الوصول إلى الشريحة.التوصيات
بالنسبة للإصدارات من 2.9.0-rc1 حتى 2.14.19، قم بتكوين سر webhook لضمان أن الأطراف الموثوقة فقط هي التي يمكنها استدعاء معالج webhook.
بالنسبة للإصدارات من 2.9.0-rc1 حتى 2.14.19، إذا لم يتم استخدام Azure DevOps، فقم بتعيين
webhook.azuredevops.username وwebhook.azuredevops.password على قيم طويلةقابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾