Informazioni sul CVE-2024-21661
Argo CD Denial of Service (DoS) Vulnerability Due to Unsafe Array Modification in Multi-threaded Environment
CWE ID: CWE-787
Base Score (CVSS): N/A
CVE: CVE-2024-21661
Descrizione: Argo CD è uno strumento di distribuzione continua GitOps per Kubernetes, dichiarativo e per la consegna in continua. Prima di versioni 2.8.13, 2.9.9 e 2.10.4, un attaccante può sfruttare un difetto critico nell’applicazione per avviare un attacco Denial of Service (DoS) e rendere l’applicazione inoperabile, colpendo tutti gli utenti. Il problema si verifica perché la manipolazione di un array in un ambiente multithreaded è pericolosa. La vulnerabilità è radicata nel codice dell’applicazione, dove un array viene modificato mentre viene iterato. Questo è un errore di programmazione classico, ma diventa criticamente pericoloso quando eseguito in un ambiente multithread. Quando due thread interagiscono con lo stesso array contemporaneamente, l’applicazione si blocca. Questo è una vulnerabilità Denial of Service (DoS). Qualsiasi attaccante può bloccare continuamente l’applicazione, rendendo impossibile per gli utenti legittimi accedere al servizio. L’incidente è aggravato perché non richiede autenticazione, ampliando il numero di potenziali attaccanti. Le versioni 2.8.13, 2.9.9 e 2.10.4 contengono una patch per questo problema.
Vettore di attacco CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Network, Privilegi: None, Interazione utente: None, Confidenzialità: None, Integrità: None, Disponibilità: High.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | N | Network | L’attacco può essere eseguito da remoto attraverso la rete. |
| Attack Complexity (AC) | L | Low | L’attacco non richiede condizioni particolari. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | N | None | Nessun impatto sulla riservatezza. |
| Integrity Impact (I) | N | None | Nessun impatto sull’integrità. |
| Availability Impact (A) | H | High | Rende il sistema inutilizzabile. |
Riferimenti esterni
- https://github.com/argoproj/argo-cd/security/advisories/GHSA-6v85-wr92-q4p7
- https://github.com/argoproj/argo-cd/commit/2a22e19e06aaf6a1e734443043310a66c234e345
- https://github.com/argoproj/argo-cd/commit/5bbb51ab423f273dda74ab956469843d2db2e208
- https://github.com/argoproj/argo-cd/commit/ce04dc5c6f6e92033221ec6d96b74403b065ca8b
- https://github.com/argoproj/argo-cd/blob/54601c8fd30b86a4c4b7eb449956264372c8bde0/util/session/sessionmanager.go#L302-L311
Prodotti interessati
- argoproj – argo-cd
Relazioni con altri prodotti
Produttore:argoproj
Prodotto: argo-cd
Anno: 2024
CWE: CWE-787
CVSS: 0.0