PT-2024-2261 · Argo Cd · Argo Cd

Nadava669 · Publicado 2024-03-18 · Atualizado 2025-01-09 · CVE-2024-21652

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Argo CD anteriores à 2.8.13

Versões do Argo CD anteriores à 2.9.9

Versões do Argo CD anteriores à 2.10.4

Descrição

O problema decorre de uma cadeia de vulnerabilidades, incluindo uma falha de Negação de Serviço (DoS) e uma fragilidade no armazenamento de dados na memória, permitindo que invasores contornem a proteção contra tentativas de login por força bruta do aplicativo. Isso torna o aplicativo suscetível a ataques de força bruta, comprometendo a segurança de todas as contas de usuário. Um invasor pode explorar o mecanismo baseado em cache do aplicativo para causar um estouro de cache, bombardeando-o com tentativas de login de diferentes usuários, empurrando assim para fora as tentativas malsucedidas da conta de administrador e efetivamente reiniciando o limite de taxa para essa conta. O aplicativo trava devido a uma vulnerabilidade DoS causada por modificações inseguras em matrizes em um ambiente multithread, e o aplicativo salva os dados das tentativas de login malsucedidas na memória, sem armazenamento persistente, que são perdidos quando o aplicativo trava e reinicia, reiniciando as proteções contra força bruta.

Recomendações

Para versões anteriores à 2.8.13, atualize para a versão 2.8.13 ou posterior para corrigir o problema.

Para versões anteriores à 2.9.9, atualize para a versão 2.9.9 ou posterior para corrigir o problema.

Para versões anteriores à 2.10.4, atualize para a versão 2.10.4 ou posterior para corrigir o problema.

Como solução alternativa temporária, considere restringir o acesso à funcionalidade de login para minimizar o risco de exploração.

Exploit

Correção

Improper Restriction of Excessive Authentication Attempts

Enumeração de Fraquezas

CWE-307

Identificadores relacionados

BDU:2024-02194

BIT-ARGO-CD-2024-21652

BIT-ARGO-CD-2024-21662

CVE-2024-21652

GHSA-2VGG-9H6W-M454

GHSA-X32M-MVFJ-52XV

GO-2024-2652

RHSA-2024:1752

Produtos afetados

Argo Cd

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/21xxx/CVE-2024-21652.json · Exploit
• https://github.com/argoproj/argo-cd · Nota
• https://github.com/argoproj/argo-cd/commit/6e181d72b31522f886a2afa029d5b26d7912ec7b · Nota
• https://github.com/argoproj/argo-cd/commit/17b0df1168a4c535f6f37e95f25ed7cd81e1fa4d · Nota
• https://github.com/argoproj/argo-cd/commit/cebb6538f7944c87ca2fecb5d17f8baacc431456 · Nota
• https://github.com/argoproj/argo-cd/security/advisories/GHSA-2vgg-9h6w-m454 · Nota
• https://github.com/argoproj/argo-cd/security/advisories/GHSA-x32m-mvfj-52xv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-21652 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-02194 · Nota de Segurança
• https://twitter.com/CVEnew/status/1769777928236097705 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-argo-cd-2024-21652 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x32m-mvfj-52xv · Aviso do Fabricante
• https://argo-cd.readthedocs.io/en/stable/security_considerations/#cve-2020-8827-insufficient-anti-automationanti-brute-force · Nota
• https://osv.dev/vulnerability/BIT-argo-cd-2024-21662 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-21652 · Aviso do Fabricante