CVE-2025-55191 in argo-cd
Tóm tắt
Bởi VulDB • 24/05/2026
Argo CD là một công cụ phân phối liên tục theo mô hình khai báo, sử dụng GitOps, dành cho Kubernetes. Các phiên bản từ 2.1.0 đến 2.14.19, 3.2.0-rc1, 3.1.0-rc1 đến 3.1.7, và 3.0.0-rc1 đến 3.0.18 chứa một race condition trong trình xử lý thông tin xác thực kho lưu trữ (repository credentials handler), có thể khiến máy chủ Argo CD bị lỗi nghiêm trọng (panic) và sập khi các thao tác đồng thời được thực hiện trên cùng một URL kho lưu trữ. Lỗ hổng này nằm ở nhiều trình xử lý liên quan đến kho lưu trữ trong tệp util/db/repository_secrets.go. Để kích hoạt race condition, cần có một token API hợp lệ với quyền tài nguyên kho lưu trữ (các hành động tạo, cập nhật hoặc xóa). Lỗ hổng này khiến toàn bộ máy chủ Argo CD bị sập và không thể truy cập được. Kẻ tấn công có thể liên tục và lặp lại việc kích hoạt race condition để duy trì trạng thái từ chối dịch vụ (DoS), làm gián đoạn tất cả các hoạt động GitOps. Vấn đề này đã được khắc phục trong các phiên bản 2.14.20, 3.2.0-rc2, 3.1.8 và 3.0.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.