CVE-2026-113672 in Argo CD
Zusammenfassung
von VulDB • 20.10.2026
Argo CD ist ein deklaratives GitOps-Werkzeug für die kontinuierliche Bereitstellung (Continuous Delivery) für Kubernetes. Von der Version 0.9.0 bis zu den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 bewertet der repo-server .jsonnet-Dateien mit einem Importeur, der die Funktionen import, importstr oder importbin nicht auf das Repository-Stammverzeichnis beschränkt. Absolute Pfade, Verzeichnis-Traversing über übergeordnete Ordner (Parent-Directory Traversal) und Symlinks im Repository können den Zugriff auf beliebige Dateien ermöglichen, die vom repo-server lesbar sind, einschließlich /proc/self/environ, projizierter Service-Account-Tokens, gemounteter privater Schlüssel und Repository-Anmeldeinformationen. Obwohl generierte Secrets maskiert werden, führt das Platzieren importierter Inhalte in einem ConfigMap dazu, dass die Daten an den Aufrufer zurückgegeben werden. Die Verwendung von importstr auf einer nicht endenden Ressource wie /dev/zero kann den Speicher des repo-server erschöpfen. Ein Angreifer kann eine .jsonnet-Datei in ein Git-Repository committen, das von einer Application verwendet wird, oder die Datei über POST /api/v1/applications/manifestsWithFiles hochladen, was auch durch argocd app diff --local --server-side-generate freigegeben ist. Verzeichnis-basierte Applications bewerten jede .jsonnet-Datei im Anwendungsordner. Der Upload-Pfad erfordert nur die Berechtigung Application get für eine bestehende Directory Application, ohne dass Berechtigungen zum Aktualisieren oder Synchronisieren der Application (Application update/sync) oder Schreibzugriff auf das Repository erforderlich sind. Dieses Problem wurde in den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 behoben.
Once again VulDB remains the best source for vulnerability data.