Nadava669

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.8.13 Versões do Argo CD anteriores à 2.9.9 Versões do Argo CD anteriores à 2.10.4 **Descrição** O problema está relacionado ao mecanismo de armazenamento em cache do Argo CD, que é uma ferramenta declarativa de entrega contínua GitOps para Kubernetes. Um invasor pode explorar o mecanismo baseado em cache do aplicativo para contornar o limite de taxa e as proteções contra ataques de força bruta. Isso pode ser feito sobrecarregando o cache, que rastreia as tentativas de login de cada usuário e é limitado a um `defaultMaxCacheSize` de 1.000 entradas, bombardeando-o com tentativas de login de diferentes usuários. Isso efetivamente reinicia o limite de taxa para a conta de administrador, permitindo que invasores realizem ataques de força bruta em um ritmo acelerado. **Recomendações** Para versões anteriores à 2.8.13, atualize para a versão 2.8.13 ou posterior para receber um patch. Para versões anteriores à 2.9.9, atualize para a versão 2.9.9 ou posterior para receber um patch. Para versões anteriores à 2.10.4, atualize para a versão 2.10.4 ou posterior para receber um patch. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de login para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.8.13 Versões do Argo CD anteriores à 2.9.9 Versões do Argo CD anteriores à 2.10.4 **Descrição** O problema decorre de uma cadeia de vulnerabilidades, incluindo uma falha de Negação de Serviço (DoS) e uma fragilidade no armazenamento de dados na memória, permitindo que invasores contornem a proteção contra tentativas de login por força bruta do aplicativo. Isso torna o aplicativo suscetível a ataques de força bruta, comprometendo a segurança de todas as contas de usuário. Um invasor pode explorar o mecanismo baseado em cache do aplicativo para causar um estouro de cache, bombardeando-o com tentativas de login de diferentes usuários, empurrando assim para fora as tentativas malsucedidas da conta de administrador e efetivamente reiniciando o limite de taxa para essa conta. O aplicativo trava devido a uma vulnerabilidade DoS causada por modificações inseguras em matrizes em um ambiente multithread, e o aplicativo salva os dados das tentativas de login malsucedidas na memória, sem armazenamento persistente, que são perdidos quando o aplicativo trava e reinicia, reiniciando as proteções contra força bruta. **Recomendações** Para versões anteriores à 2.8.13, atualize para a versão 2.8.13 ou posterior para corrigir o problema. Para versões anteriores à 2.9.9, atualize para a versão 2.9.9 ou posterior para corrigir o problema. Para versões anteriores à 2.10.4, atualize para a versão 2.10.4 ou posterior para corrigir o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de login para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD anteriores à 2.8.13 Versões do Argo CD anteriores à 2.9.9 Versões do Argo CD anteriores à 2.10.4 **Descrição** O problema decorre da manipulação insegura de uma matriz em um ambiente multithread, onde uma matriz é modificada enquanto está sendo iterada. Trata-se de um erro clássico de programação, mas que se torna extremamente inseguro quando executado em um ambiente multithread. Quando duas threads interagem com a mesma matriz simultaneamente, o aplicativo trava. A vulnerabilidade está enraizada no código do aplicativo, especificamente na função `expireOldFailedAttempts()`. Qualquer invasor pode travar o aplicativo continuamente, impossibilitando o acesso ao serviço por usuários legítimos. O problema é agravado porque não requer autenticação, ampliando o leque de invasores em potencial. **Recomendações** Para resolver o problema em versões anteriores à 2.8.13, atualize para a versão 2.8.13 ou posterior. Para resolver o problema nas versões anteriores à 2.9.9, atualize para a versão 2.9.9 ou posterior. Para resolver o problema nas versões anteriores à 2.10.4, atualize para a versão 2.10.4 ou posterior. Como solução temporária, considere desativar a função `expireOldFailedAttempts()` até que um patch esteja disponível.