PT-2025-5629 · Argo Cd · Argo Cd

Publicado 2025-01-30 · Atualizado 2025-01-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Argo CD anteriores à 2.13.4 Versões do Argo CD anteriores à 2.12.10 Versões do Argo CD anteriores à 2.11.13

Descrição: Uma vulnerabilidade foi descoberta que expõe valores secretos em mensagens de erro e na visualização de diff quando um recurso Secret inválido do Kubernetes é sincronizado a partir de um repositório. Este problema pode ser explorado por um usuário com acesso de escrita ao repositório, que pode fazer commit de um Secret inválido e acionar uma Sincronização, intencionalmente ou não. Uma vez explorada, qualquer usuário com acesso de leitura ao Argo CD pode visualizar os dados secretos expostos.

Recomendações: Para versões anteriores à 2.13.4, atualize para a versão 2.13.4 ou posterior. Para versões anteriores à 2.12.10, atualize para a versão 2.12.10 ou posterior. Para versões anteriores à 2.11.13, atualize para a versão 2.11.13 ou posterior.

Correção

Identificadores relacionados

GHSA-274V-MGCV-CM8J

Produtos afetados

Argo Cd

Referências · 7

• https://github.com/argoproj/argo-cd/commit/6f5537bdf15ddbaa0f27a1a678632ff0743e4107 · Nota
• https://github.com/argoproj/argo-cd/security/advisories/GHSA-47g2-qmh2-749v · Nota
• https://github.com/argoproj/gitops-engine/commit/7e21b91e9d0f64104c8a661f3f390c5e6d73ddca · Nota
• https://github.com/argoproj/gitops-engine · Nota
• https://github.com/argoproj/gitops-engine/security/advisories/GHSA-274v-mgcv-cm8j · Nota
• https://osv.dev/vulnerability/GHSA-274v-mgcv-cm8j · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2025-3437 · Nota