PT-2024-5127 · Argo Cd · Argo Cd

Jake-Ciolek

·

Publicado

2024-07-22

·

Atualizado

2025-01-09

·

CVE-2024-40634

CVSS v4.0

8.7

Alta

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Nome do software vulnerável e versões afetadas:
Versões do Argo CD anteriores à 2.11.6
Versões do Argo CD anteriores à 2.10.15
Versões do Argo CD anteriores à 2.9.20
Descrição:
O problema está relacionado a um invasor não autenticado que envia uma carga JSON grande e especialmente criada para o endpoint “/api/webhook”, causando alocação excessiva de memória que leva à interrupção do serviço ao acionar um kill por falta de memória (OOM). Isso representa um alto risco para a disponibilidade das implantações do Argo CD. A vulnerabilidade pode ser explorada enviando-se uma solicitação maliciosa de grande porte com cabeçalhos, como “X-GitHub-Event: push”, que fará com que o ArgoCD comece a alocar memória para analisar a solicitação recebida.
Recomendações:
Para versões anteriores à 2.11.6, atualize para a versão 2.11.6 ou posterior.
Para versões anteriores à 2.10.15, atualize para a versão 2.10.15 ou posterior.
Para versões anteriores à 2.9.20, atualize para a versão 2.9.20 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/webhook” para minimizar o risco de exploração.
Aplique um limite ao tamanho da solicitação que está sendo analisada para evitar alocação excessiva de memória.

Exploit

Correção

Resource Exhaustion

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-05674
BIT-ARGO-CD-2024-40634
CVE-2024-40634
GHSA-JMVP-698C-4X3W
GO-2024-3002

Produtos afetados

Argo Cd