CVE-2026-113709 in Argo CD
要約
〜によって VulDB • 2026年10月20日
Argo CDは、Kubernetes向けの宣言型GitOps継続的デリバリーツールです。バージョン2.1.0から3.3.15、3.4.10、3.5.4、および3.6.0-rc2に至るまで、オペレーターがkustomize buildに対して--enable-helmを有効にしている場合、helmGlobals.configHomeはHelmの設定ディレクトリとデータディレクトリをリポジトリ制御下の場所へ向けることができます。Helmは、プラグインインストールの個別ステップなしで`<configHome>/.data/plugins`からダウンローダープラグインを自動的に読み込み、helmChartsのリポジトリURLがそのプラグインのプロトコルを使用している場合にargocd-repo-server内でプログラムを実行します。このコマンドはrepo-serverユーザーとして実行され、リポジクレデンシャルや他のプロセスアクセス可能なデータを読み取ることができます。攻撃者は、ApplicationがビルドするGitリポジトリにKustomizationとプラグインをコミットするか、POST /api/v1/applications/manifestsWithFilesを通じてファイルをアップロードできます（これはargocd app diff --local --server-side-generateでも公開されています）。このアップロードパスでは、既存のApplicationに対するApplication get権限のみが必要であり、Application updateやsync権限、リポジトリへの書き込みアクセスは不要です。両方のデリバリー経路には、事前にオペレーターが--enable-helmを有効化している必要があります;これを有効にしていないデプロイメントは影響を受けません。Kustomize 4.1.0でhelmGlobals.configHomeがHelmへ渡されるようになりました。この問題はバージョン3.3.15、3.4.10、3.5.4、および3.6.0-rc2で修正されています。
Once again VulDB remains the best source for vulnerability data.