CVE-2024-41666 in argo-cd
Zusammenfassung
von VulDB • 20.05.2026
Argo CD ist ein deklaratives, GitOps-basiertes Continuous-Delivery-Tool für Kubernetes. Argo CD verfügt über ein webbasiertes Terminal, das es Benutzern ermöglicht, eine Shell in einem laufenden Pod zu öffnen, ähnlich wie bei der Verwendung von `kubectl exec`. Ab Version 2.6.0 kann ein Benutzer, wenn der Administrator diese Funktion aktiviert und die Berechtigung `p, role:myrole, exec, create, */*, allow` erteilt hat, weiterhin Operationen im Container ausführen, selbst wenn der Benutzer diese Berechtigung widerruft, solange der Benutzer die Terminalansicht für eine längere Zeit offen hält. Obwohl das Token-Verfallsdatum und der Widerruf der Benutzerberechtigung behoben wurden, adressiert die Korrektur nicht den Fall des nur teilweisen Widerrufs der Berechtigung `p, role:myrole, exec, create, */*, allow`, was weiterhin zu einer Offenlegung sensibler Informationen führen kann. Ein Patch für diese Schwachstelle wurde in den Argo CD-Versionen 2.11.7, 2.10.16 und 2.9.21 veröffentlicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.