Crenshaw-Dev

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.11.3 Versões do Argo CD anteriores à 2.10.12 Versões do Argo CD anteriores à 2.9.17 **Descrição** O Argo CD é uma ferramenta declarativa de entrega contínua GitOps para o Kubernetes. É possível que usuários autenticados enumerem clusters por nome ao inspecionar mensagens de erro. Também é possível enumerar os nomes de projetos com clusters no escopo do projeto, caso se conheça os nomes dos clusters. Essa vulnerabilidade pode ser explorada enviando solicitações para pontos de extremidade específicos da API, como ‘https://localhost:8080/api/v1/clusters/in-cluster?id.type=name’, e analisando as mensagens de erro retornadas. **Recomendações** Para versões anteriores à 2.11.3, atualize para a versão 2.11.3 ou posterior. Para versões anteriores à 2.10.12, atualize para a versão 2.10.12 ou posterior. Para versões anteriores à 2.9.17, atualize para a versão 2.9.17 ou posterior. Como solução alternativa temporária, considere restringir o acesso ao endpoint `api/v1/clusters` até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.10.7 Versões do Argo CD anteriores à 2.9.12 Versões do Argo CD anteriores à 2.8.16 **Descrição** O Argo CD é uma ferramenta declarativa de entrega contínua GitOps para o Kubernetes. O servidor de API não impõe os sourceNamespaces do projeto, o que permite que invasores usem a interface do usuário para editar recursos que deveriam ser alteráveis apenas via GitOps. Um invasor pode explorar essa vulnerabilidade criando um aplicativo em um namespace específico, alterando seu projeto e, em seguida, usando a interface do usuário para editar o recurso. **Recomendações** Para versões anteriores à 2.10.7, atualize para a versão 2.10.7 ou posterior. Para versões anteriores à 2.9.12, atualize para a versão 2.9.12 ou posterior. Para versões anteriores à 2.8.16, atualize para a versão 2.8.16 ou posterior. Como solução alternativa temporária, considere restringir o acesso à interface do usuário para edição de recursos, a fim de minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.10.8 Versões do Argo CD anteriores à 2.9.13 Versões do Argo CD anteriores à 2.8.17 **Descrição** O problema está relacionado a uma vulnerabilidade de Negação de Serviço (DoS) por falta de memória (OOM) ao utilizar o jq no ignoreDifferences. Essa vulnerabilidade pode ser explorada por um invasor remoto, permitindo que ele cause uma interrupção no serviço. A vulnerabilidade está associada ao consumo descontrolado de recursos durante o processamento do parâmetro `jqPathExpressions`. **Recomendações** Para versões anteriores à 2.10.8, atualize para a versão 2.10.8 ou posterior. Para versões anteriores à 2.9.13, atualize para a versão 2.9.13 ou posterior. Para versões anteriores à 2.8.17, atualize para a versão 2.8.17 ou posterior. Como solução alternativa temporária, considere restringir o uso do parâmetro `jqPathExpressions` na configuração `ignoreDifferences` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD de 1.2.0-rc1 a 2.10.2 Versões do Argo CD de 1.2.0-rc1 a 2.9.7 Versões do Argo CD de 1.2.0-rc1 a 2.8.11 **Descrição** O problema está relacionado à validação inadequada no Argo CD, uma ferramenta declarativa de entrega contínua GitOps para Kubernetes. Isso permite que usuários com privilégios de `create`, mas não de `override`, sincronizem manifestos locais na criação de aplicativos, contornando a restrição de que os manifestos devem provir de alguma fonte git/Helm/OCI aprovada. O recurso de “sincronização local”, que permite aos desenvolvedores substituir temporariamente os manifestos de um aplicativo por manifestos definidos localmente, é afetado. Esse recurso geralmente deve ser restrito a usuários altamente confiáveis, pois permite que o usuário contorne quaisquer proteções de mesclagem no git. **Recomendações** Para as versões do Argo CD 1.2.0-rc1 a 2.10.2, atualize para a versão 2.10.3. Para as versões do Argo CD 1.2.0-rc1 a 2.9.7, atualize para a versão 2.9.8. Para as versões do Argo CD 1.2.0-rc1 a 2.8.11, atualize para a versão 2.8.12. Como solução alternativa temporária, considere remover o acesso RBAC `applications, create` para mitigar o risco de contornamento da proteção de ramificação.

**Name of the Vulnerable Software and Affected Versions** Argo CD versions prior to 2.3 **Description** Argo CD is a declarative continuous deployment framework for Kubernetes. The issue allows an attacker to reference external Helm charts handled by the same repo-server to leak values or files from the referenced Helm Chart using a specifically-crafted Helm file. This is possible because Helm paths were predictable, allowing an attacker to add a Helm chart that references Helm resources from predictable paths. As a result, it is possible to reference and render the values and resources from other existing Helm charts, regardless of permissions. Although secrets are generally not stored in these files, it is still possible to reference any values from these charts. **Recommendations** For Argo CD versions prior to 2.3, update to a supported version. If updating is not possible, consider disabling Helm chart rendering or using an additional repo-server for each Helm chart to prevent possible exploitation.

**Name of the Vulnerable Software and Affected Versions** Argo CD versions 2.3.0-rc1 through 2.3.16 Argo CD versions 2.4.0 through 2.4.22 Argo CD versions 2.5.0 through 2.5.10 Argo CD versions 2.6.0 through 2.6.1 **Description** The issue is related to an improper authorization bug in Argo CD, a declarative, GitOps continuous delivery tool for Kubernetes. This bug allows users who have the ability to update at least one cluster secret to update any cluster secret. An attacker could use this access to escalate privileges, potentially controlling Kubernetes resources, or to break Argo CD functionality by preventing connections to external clusters. The vulnerability can be exploited by an attacker who is authenticated with the Argo CD API server and has access to update at least one cluster configuration. The attacker can craft a malicious request to the Argo CD API server, potentially allowing them to manage out-of-bounds resources, disable certificate verification for TLS connections, or apply an invalid configuration to achieve a denial-of-service. **Recommendations** For Argo CD versions 2.3.0-rc1 through 2.3.16, update to version 2.3.17. For Argo CD versions 2.4.0 through 2.4.22, update to version 2.4.23. For Argo CD versions 2.5.0 through 2.5.10, update to version 2.5.11. For Argo CD versions 2.6.0 through 2.6.1, update to version 2.6.2. As a temporary workaround, consider modifying the RBAC configuration to completely revoke all `clusters, update` access. Alternatively, use the `destinations` and `clusterResourceWhitelist` fields to apply similar restrictions as the `namespaces` and `clusterResources` fields.

**Name of the Vulnerable Software and Affected Versions** Argo CD versions 2.6.0-rc1 through 2.6.0 **Description** The issue is related to an output sanitization bug in Argo CD, which leaks repository access credentials in error messages. These error messages are visible to the user and are logged. The error message is visible when a user attempts to create or update an Application via the Argo CD API. The user must have `applications, create` or `applications, update` RBAC access to reach the code that may produce the error. **Recommendations** For versions 2.6.0-rc1 through 2.6.0, upgrade to version 2.6.1 to resolve the issue. To mitigate the issue, ensure that your repository credentials have only the least necessary privileges. Enable commit signature verification to prevent malicious commits from being synced. Enforce least privileges in Argo CD RBAC, ensuring users only have `repositories, update`, `applications, update`, or `applications, create` access if they absolutely need it.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD de 0.4.0 a 2.2.10 Versões do Argo CD de 2.3.0 a 2.3.5 Versões do Argo CD de 2.4.0 a 2.4.4 **Descrição** O problema está relacionado a um bug de validação incorreta de certificados no Argo CD, o que poderia fazer com que ele confiasse em um provedor malicioso do OpenID Connect (OIDC). Esse bug afeta as conexões com provedores OIDC e pode ser explorado por um invasor para realizar ataques de spoofing. A vulnerabilidade está relacionada à omissão da verificação de certificados durante a comunicação com o provedor OIDC, o que expõe o Argo CD a vários riscos, como um ataque man-in-the-middle. **Recomendações** Para as versões 0.4.0 a 2.2.10 do Argo CD, atualize para a versão 2.2.11 ou posterior. Para as versões 2.3.0 a 2.3.5 do Argo CD, atualize para a versão 2.3.6 ou posterior. Para as versões 2.4.0 a 2.4.4 do Argo CD, atualize para a versão 2.4.5 ou posterior. Como solução alternativa temporária para usuários de um provedor OIDC externo, considere definir o campo `oidc.config.rootCA` no ConfigMap `argocd-cm` para forçar a validação do certificado quando o servidor de API processar fluxos de login.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD de 0.11.0 a 2.4.0 Versões do Argo CD de 2.1.0 a 2.1.15 Versões do Argo CD de 2.2.0 a 2.2.9 Versões do Argo CD de 2.3.0 a 2.3.4 **Descrição** O problema está relacionado ao uso de valores aleatórios insuficientes nos parâmetros dos fluxos de login OAuth2/OIDC, possibilitando que um invasor obtenha acesso de administrador ao Argo CD. Os ataques são difíceis de executar, mas podem ter um alto impacto. As vulnerabilidades se devem ao uso de uma semente relativamente previsível em um gerador de números pseudoaleatórios não criptograficamente seguro e, em alguns casos, o uso de um valor muito curto tornou a entropia ainda menos suficiente. Os parâmetros vulneráveis incluem o parâmetro `state`, o parâmetro `code verifier` e o parâmetro `nonce`. **Recomendações** Para as versões 0.11.0 a 2.1.15 do Argo CD, atualize para a versão 2.1.16 ou posterior. Para as versões 2.2.0 a 2.2.9 do Argo CD, atualize para a versão 2.2.10 ou posterior. Para as versões 2.3.0 a 2.3.4 do Argo CD, atualize para a versão 2.3.5 ou posterior. Para as versões 2.4.0 e anteriores do Argo CD, atualize para a versão 2.4.1 ou posterior. Como solução temporária, considere restringir o acesso aos fluxos de login OAuth2/OIDC até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD de 0.7.0 a 2.1.14 Versões do Argo CD de 2.2.0 a 2.2.8 Versões do Argo CD de 2.3.0 a 2.3.3 **Descrição** O Argo CD é uma ferramenta declarativa de entrega contínua GitOps para o Kubernetes. Um usuário mal-intencionado com acesso de gravação ao repositório pode vazar arquivos confidenciais do servidor de repositórios do Argo CD devido a um bug relacionado a links simbólicos. Isso pode incluir arquivos de manifesto de repositórios de código-fonte de outros aplicativos ou quaisquer segredos no formato JSON montados como arquivos no servidor de repositórios. Um usuário mal-intencionado do Argo CD com acesso de gravação a um repositório que seja (ou possa ser) usado em um aplicativo do tipo diretório pode fazer um commit de um link simbólico que aponte para um arquivo fora dos limites. Os arquivos confidenciais que podem vazar incluem arquivos de manifesto de repositórios de código-fonte de outros aplicativos (arquivos potencialmente descriptografados, se você estiver usando um plug-in de descriptografia) ou quaisquer segredos no formato JSON que tenham sido montados como arquivos no servidor de repositório. **Recomendações** Para as versões 0.7.0 a 2.1.14, atualize para a versão 2.1.15 ou posterior. Para as versões 2.2.0 a 2.2.8, atualize para a versão 2.2.9 ou posterior. Para as versões 2.3.0 a 2.3.3, atualize para a versão 2.3.4 ou posterior. Como solução alternativa temporária para usuários das versões 2.3.0 ou superiores que não possuam aplicativos do tipo Jsonnet/directory, considere desativar a ferramenta de gerenciamento de configuração Jsonnet/directory definindo `jsonnet.enable` como false. Restrinja o acesso a arquivos confidenciais e limite quem tem acesso de envio ao manifesto r