PT-2025-40057 · Argo Cd · Argo Cd

Jake-Ciolek

·

Publicado

2025-09-30

·

Atualizado

2026-05-18

·

CVE-2025-59538

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Versões do Argo CD 2.9.0-rc1 até 2.14.19 Versões do Argo CD 3.0.0-rc1 até 3.2.0-rc1 Versão do Argo CD 3.1.6 Versão do Argo CD 3.0.17
Descrição O Argo CD, uma ferramenta de entrega contínua GitOps declarativa para Kubernetes, está suscetível a um problema de negação de serviço. Quando o webhook.azuredevops.username e o webhook.azuredevops.password não estão definidos na configuração padrão, o endpoint /api/webhook faz falhar todo o processo argocd-server ao receber um evento Push do Azure DevOps com um array JSON resource.refUpdates vazio. Isso ocorre porque o código tenta acessar o primeiro elemento ([0]) do slice resource.refUpdates sem verificar seu comprimento, levando a um panic de índice fora do intervalo. Uma única requisição HTTP POST não autenticada para o endpoint /api/webhook é suficiente para encerrar o processo. O código vulnerável está localizado em util/webhook/webhook.go por volta da linha 147, especificamente ao analisar as informações de revisão. O problema é acionado quando o array refUpdates está vazio, causando um panic durante o acesso ao slice.
Recomendações Para as versões 2.9.0-rc1 até 2.14.19, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook. Para as versões 2.9.0-rc1 até 2.14.19, se o Azure DevOps não for utilizado, defina o webhook.azuredevops.username e o webhook.azuredevops.password para valores longos e aleatórios para efetivamente desabilitar a manipulação de webhook para payloads do Azure DevOps. Para as versões 3.0.0-rc1 até 3.2.0-rc1, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook. Para as versões 3.0.0-rc1 até 3.2.0-rc1, se o Azure DevOps não for utilizado, defina o webhook.azuredevops.username e o webhook.azuredevops.password para valores longos e aleatórios para efetivamente desabilitar a manipulação de webhook para payloads do Azure DevOps. Para a versão 3.1.6, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook. Para a versão 3.1.6, se o Azure DevOps não for utilizado, defina o webhook.azuredevops.username e o webhook.azuredevops.password para valores longos e aleatórios para efetivamente desabilitar a manipulação de webhook para payloads do Azure DevOps. Para a versão 3.0.17, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook. Para a versão 3.0.17, se o Azure DevOps não for utilizado, defina o webhook.azuredevops.username e o webhook.azuredevops.password para valores longos e aleatórios para efetivamente desabilitar a manipulação de webhook para payloads do Azure DevOps.

Exploit

Correção

DoS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-ARGO-CD-2025-59538
CLEANSTART-2026-AC12204
CLEANSTART-2026-AJ16639
CLEANSTART-2026-BD53293
CLEANSTART-2026-BH97849
CLEANSTART-2026-CZ81512
CLEANSTART-2026-DR75226
CLEANSTART-2026-DZ05206
CLEANSTART-2026-EC15228
CLEANSTART-2026-ER93728
CLEANSTART-2026-FF20499
CLEANSTART-2026-FF98917
CLEANSTART-2026-GL70025
CLEANSTART-2026-GQ03231
CLEANSTART-2026-IO04548
CLEANSTART-2026-JD75482
CLEANSTART-2026-JO01099
CLEANSTART-2026-JR48309
CLEANSTART-2026-JU62670
CLEANSTART-2026-JW58725
CLEANSTART-2026-KU65968
CLEANSTART-2026-KZ60560
CLEANSTART-2026-LS98939
CLEANSTART-2026-LU21824
CLEANSTART-2026-MA32024
CLEANSTART-2026-NJ43712
CLEANSTART-2026-NP17404
CLEANSTART-2026-NP19113
CLEANSTART-2026-NT80635
CLEANSTART-2026-NV34418
CLEANSTART-2026-OA33370
CLEANSTART-2026-OX06978
CLEANSTART-2026-PN58989
CLEANSTART-2026-QB67682
CLEANSTART-2026-QC30410
CLEANSTART-2026-QF85840
CLEANSTART-2026-QK02462
CLEANSTART-2026-TT42218
CLEANSTART-2026-UO76615
CLEANSTART-2026-VJ77782
CLEANSTART-2026-VY87942
CLEANSTART-2026-WP10148
CLEANSTART-2026-WQ07901
CLEANSTART-2026-XR85161
CLEANSTART-2026-YQ79300
CLEANSTART-2026-YW12690
CVE-2025-59538
GHSA-GPX4-37G2-C8PV
GO-2025-3995
OPENSUSE-SU-2025:15666-1
SUSE-SU-2025:3799-1

Produtos afetados

Argo Cd