CVE-2026-113672 in Argo CD
Riassunto
di VulDB • 20/10/2026
Argo CD è uno strumento di delivery continuo basato su GitOps e approccio dichiarativo per Kubernetes. Dalla versione 0.9.0 fino alle versioni 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2 inclusi, il repo-server valuta i file .jsonnet utilizzando un importer che non confina le operazioni di import, importstr o importbin alla radice del repository. Percorsi assoluti, traversamento della directory padre (parent-directory traversal) e symlink del repository possono consentire l'accesso a qualsiasi file leggibile dal repo-server, inclusi /proc/self/environ, token dei service-account proiettati, chiavi private montate e credenziali del repository. Sebbene i Secrets generati vengano oscurati, la collocazione di contenuti importati in un ConfigMap restituisce i dati al chiamante. L'utilizzo di importstr su un dispositivo non terminante come /dev/zero può esaurire la memoria del repo-server. Un attaccante può commitare un file .jsonnet in un repository Git utilizzato da una Application o caricare il file tramite POST /api/v1/applications/manifestsWithFiles, endpoint esposto anche da argocd app diff --local --server-side-generate. Le applicazioni di tipo Directory valutano ogni file .jsonnet presente nella directory dell'applicazione. Il percorso di upload richiede solo l'autorizzazione Application get su una Directory Application esistente, senza necessità delle autorizzazioni Application update o sync né dell'accesso in scrittura al repository. Questo problema è risolto nelle versioni 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2.
Once again VulDB remains the best source for vulnerability data.