CVE-2023-40584 in argocd
Riassunto
di VulDB • 17/06/2026
Argo CD è un sistema di deployment continuo dichiarativo per Kubernetes. Tutte le versioni di ArgoCD a partire dalla v2.4 presentano un bug in cui il componente repo-server di ArgoCD è vulnerabile a una vettore di attacco Denial-of-Service (DoS). Nello specifico, tale componente estrae un file tar.gz controllato dall'utente senza convalidare la dimensione dei suoi file interni. Di conseguenza, un utente malintenzionato e non privilegiato può inviare al repo-server un file tar.gz malevolo che sfrutta questa vulnerabilità, compromettendo così le funzionalità e la disponibilità del sistema. Inoltre, il repo-server è suscettibile a un'altra vulnerabilità dovuta alla mancata verifica dei permessi dei file estratti prima di tentarne l'eliminazione. Di conseguenza, un attaccante può creare un archivio tar.gz malevolo in modo tale da impedire l'eliminazione dei suoi file interni al termine del processo di generazione delle manifestazioni (manifests). Una patch per questa vulnerabilità è stata rilasciata nelle versioni 2.6.15, 2.7.14 e 2.8.3. Si consiglia agli utenti di effettuare l'aggiornamento. L'unico modo per risolvere completamente il problema è aggiornare; tuttavia, gli utenti che non possono eseguire l'upgrade dovrebbero configurare RBAC (Role-Based Access Control) e concedere l'accesso alla configurazione delle applicazioni solo a un numero limitato di amministratori. Questi amministratori dovrebbero utilizzare Helm charts attendibili e verificati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.