Argo CD: Umgehung der Login-Ratenbegrenzung durch parallele Anfragen

Zusammenfassung

Argo CD, ein GitOps-Werkzeug für die kontinuierliche Auslieferung auf Kubernetes, begrenzt fehlgeschlagene Logins mit lokalem Benutzernamen und Passwort (Standard: 5 Fehlversuche in 5 Minuten). Der Login-Handler liest den Fehlerzähler, prüft das Passwort und erhöht den Zähler erst danach, weshalb parallele Login-Anfragen für denselben Benutzernamen das Limit überschreiten können. Ein Angreifer mit Netzwerkzugriff auf den Login-Endpunkt kann so lokale Konten per Brute-Force angreifen, einschliesslich des eingebauten Admin-Kontos, falls es aktiviert ist. SSO- und OIDC-Logins sind nicht betroffen.

Betroffen

• Argo CD v3.0.6 gemäss NVD-Beschreibung (nicht verifiziert).
• Gemäss GitHub-Advisory: Argo CD 1.5.3 bis unter 2.0.0, 3.0.0 bis unter 3.3.15, 3.4.0 bis unter 3.4.10, 3.5.0 bis unter 3.5.4 sowie 3.6.0-rc1. Die Advisory besagt, dass alle Versionen ab v1.5.3 betroffen sind.
• Unbekannt: der genaue betroffene Bereich für 3.0.x; in der Advisory prüfen.

Behoben in

• 3.3.15
• 3.4.10
• 3.5.4
• 3.6.0-rc2

Argo CD 1.x, 2.x sowie 3.0 bis 3.2 sind nicht mehr unterstützt und erhalten keinen Patch. Auf eine gepatchte Version 3.3 oder neuer aktualisieren.

Umgehung

• Lokale Konten deaktivieren und SSO verlangen (dies entfernt die Passwortprüfung, auf die sich die Begrenzung bezieht).
• Das eingebaute Admin-Konto mit admin.enabled: "false" in argocd-cm deaktivieren.
• Weitere lokale Konten mit accounts.<username>.enabled: "false" deaktivieren.
• Falls lokale Konten aktiv bleiben müssen, starke und eindeutige Passwörter verwenden.
• Netzwerkzugriff auf die API einschränken oder eine HTTP-Ratenbegrenzung davor setzen. Diese Massnahmen beheben die Race Condition nicht.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Gemäss Strix nicht in der CISA-KEV-Liste bekannter Ausnutzungen. EPSS: 0.00318.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Auf 3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 oder neuer aktualisieren und einen Wechsel weg von nicht mehr unterstützten Versionen 1.x, 2.x sowie 3.0 bis 3.2 planen.
• Das gesamte Release-Paket einspielen, nicht nur für diese CVE.
• Prüfen, ob UI und API von Argo CD aus dem Internet erreichbar sind; Zugriff auf VPN oder interne Netze beschränken.
• SSO mit MFA verwenden und lokale sowie Admin-Konten wo möglich deaktivieren.
• Ratenbegrenzung am Ingress oder WAF einrichten und Logs auf wiederholte fehlgeschlagene Logins überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4439-h7jw-5cjj github.com
• Argo CD releases github.com
• Argo CD repository github.com
• Red Hat CVE record via Vulners vulners.com
• Strix CVE overview www.strix.ai
• Argo CD commit on admin account documentation github.com
• Argo CD advisory GHSA-2vgg-9h6w-m454 (earlier rate-limit bypass) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:23.