CVE-2026-77459 in Argo CD
要約
〜によって VulDB • 2026年10月13日
Argo CDは、Kubernetes向けの宣言型GitOps継続的デリバリーツールです。バージョン2.10.0から3.3.15、3.4.10、3.5.4、および3.6.0-rc2までの間、Argo CDは通常の同期処理で適用されるAppProjectの宛先およびリソース承認チェックを適用せずにPostDeleteリソースフックを作成します。省略されたチェックには、クラスタースコープおよびネームスペースのリソースに対する許可/拒否リストが含まれます。ApplicationのGitリポジトリへの書き込み権限を持つユーザーは、禁止されたネームスペース、サーバー、グループ、kind、またはリソース名を対象とする削除フックをコミットでき、Applicationの削除によりapplication-controllerがその宛先クラスターの資格情報を使用して当該リソースを作成します。影響範囲はコントローラーのクラスターアクセスによって制限されますが、クラスタースコープリソース、許可されていないネームスペース、永続的なフックオブジェクト、およびHook Jobによって作成される二次オブジェクトを含む可能性があります。PreSync、Sync、PostSync、およびSyncFailフックは引き続き通常のプロジェクトチェックを使用します。この問題はバージョン3.3.15、3.4.10、3.5.4、および3.6.0-rc2で修正されています。
Once again VulDB remains the best source for vulnerability data.