Github.com/argoproj-labs/argocd-image-updater: argocd-image-updater: تنفيذ أوامر عشوائية عبر تكوين وكيل مستودع SSH مُصمم خصيصاً

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تم اكتشاف ثغرة حقن أوامر في أداة Argo CD Image Updater، حيث يتم تمرير عنوان URL للوكيل المُكوّن على مستودع SSH Git دون تنقية إلى أمر SSH مُفسَّر بواسطة الصدفة (shell). يمكن للمهاجم القادر على تعيين قيمة وكيل خبيثة حقن رموز صدفة خاصة لتنفيذ أوامر عشوائية والوصول إلى بيانات الاعتماد في سياق عملية Image Updater.

المعالجة

1. أحصِ جميع نشرات Red Hat Red Hat OpenShift GitOps، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://access.redhat.com/security/cve/CVE-2026-121621
• مرجعhttps://bugzilla.redhat.com/show_bug.cgi?id=2565914
• مرجعhttps://github.com/argoproj-labs/argocd-image-updater/pull/1905