PT-2025-40056 · Argo Cd · Argo Cd
Jake-Ciolek
+1
·
Publicado
2025-09-30
·
Atualizado
2026-05-18
·
CVE-2025-59537
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Argo CD 1.2.0 a 1.8.7
Versões do Argo CD 2.0.0-rc1 a 2.14.19
Versões do Argo CD 3.0.0-rc1 a 3.2.0-rc1
Versão do Argo CD 3.1.7
Versão do Argo CD 3.0.18
Descrição
O Argo CD está suscetível a requisições de API maliciosas que podem levar a uma negação de serviço, causando a falha do servidor de API e interrompendo o serviço para usuários legítimos. Especificamente, o endpoint
/api/webhook é vulnerável quando o webhook.gogs.secret não está configurado. Neste cenário, receber um evento de push do Gogs com um campo JSON commits[].repo ausente ou nulo causa a falha do processo argocd-server. A função affectedRevisionInfo carece de validação adequada da estrutura de dados para tipos de eventos de webhook, permitindo que um atacante explore isso enviando dados manipulados. A vulnerabilidade reside na função Handler, que analisa mensagens do tipo webhook com base nos parâmetros header e body. A função Parse desserializa mensagens do tipo JSON sem validação estrita. Um atacante pode enviar repetidamente requisições não autenticadas para o endpoint /api/webhook para causar uma negação de serviço.Recomendações
Para as versões 1.2.0 a 1.8.7, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para as versões 2.0.0-rc1 a 2.14.19, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para as versões 3.0.0-rc1 a 3.2.0-rc1, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para a versão 3.1.7, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para a versão 3.0.18, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Se o Gogs não for utilizado, defina o
webhook.gogs.secret para um valor longo e aleatório para desabilitar o processamento de payload do Gogs.Exploit
Correção
DoS
RCE
NULL Pointer Dereference
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Argo Cd