CVE-2024-21652

Argo CD: Ominięcie ochrony przed brute force logowania

CVSS 9.8v3.1pub. 2024-03-18upd. 2025-01-09

Podatność w Argo CD umożliwia atakującemu ominięcie mechanizmu ochrony przed atakami brute force na logowanie poprzez wykorzystanie łańcucha luk, w tym błędu DoS i słabości przechowywania danych w pamięci. Jest to krytyczne zagrożenie, gdyż naraża konta użytkowników na nieograniczoną liczbę prób logowania oraz umożliwia wyłączenie usługi dla wszystkich użytkowników.

▸ Pokaż oryginał (EN)

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Prior to versions 2.8.13, 2.9.9, and 2.10.4, an attacker can exploit a chain of vulnerabilities, including a Denial of Service (DoS) flaw and in-memory data storage weakness, to effectively bypass the application's brute force login protection. This is a critical security vulnerability that allows attackers to bypass the brute force login protection mechanism. Not only can they crash the service affecting all users, but they can also make unlimited login attempts, increasing the risk of account compromise. Versions 2.8.13, 2.9.9, and 2.10.4 contain a patch for this issue.

🤖 Analiza AI

Jak działa

Atakujący wykorzystuje łańcuch podatności: najpierw wywołuje błąd Denial of Service, który powoduje awarię usługi i utratę danych przechowywanych tymczasowo w pamięci operacyjnej (in-memory). Utrata tych danych skutkuje zresetowaniem liczników prób logowania, przez co mechanizm ochrony przed brute force przestaje działać. Po ponownym uruchomieniu usługi atakujący może wykonywać nieograniczoną liczbę prób logowania bez ryzyka zablokowania konta.

Skutki

Atakujący może przejąć kontrolę nad kontami użytkowników poprzez nieograniczone ataki brute force na dane uwierzytelniające oraz spowodować niedostępność usługi Argo CD dla wszystkich użytkowników.