由于多线程环境中不安全的数组修改而导致的 Argo CD 拒绝服务 (DoS) 漏洞 (CVE-2024-21661)
CVE编号
CVE-2024-21661利用情况
暂无补丁情况
N/A披露时间
2024-03-19漏洞描述
Argo CD是用于Kubernetes的声明性、GitOps持续交付工具。在版本2.8.13、2.9.9和2.10.4之前，攻击者可以利用应用程序中的一个关键漏洞发起拒绝服务（DoS）攻击，使应用程序无法运行并影响所有用户。问题源于在多线程环境中对数组的不安全操作。漏洞根源于应用程序代码，其中在对数组进行迭代时对其进行修改。这是一种经典的编程错误，但在多线程环境中执行时变得极其不安全。当两个线程同时与同一数组交互时，应用程序会崩溃。这是一个拒绝服务（DoS）漏洞。任何攻击者都可以不停地使应用程序崩溃，使合法用户无法访问服务。问题加剧的原因是它不需要认证，扩大了潜在攻击者的范围。版本2.8.13、2.9.9和2.10.4中包含了针对这个问题的补丁。解决建议
"将组件 github.com/argoproj/argo-cd 升级至 2.10.4 及以上版本""将组件 github.com/argoproj/argo-cd 升级至 2.8.13 及以上版本""将组件 github.com/argoproj/argo-cd 升级至 2.9.9 及以上版本"- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 无
- 完整性 无
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论