Argo CD: Pfadtraversierung im Jsonnet-Import erlaubt Lesen beliebiger Dateien

Zusammenfassung

Argo CD wertet .jsonnet-Dateien im Repo-Server mit einem Importer aus, der import, importstr und importbin nicht auf das Repository-Root beschränkt. Ein authentifizierter Benutzer, der eine .jsonnet-Datei in ein Repository committen kann, das von einer Application verwendet wird, oder der die Berechtigung Application get auf eine bestehende Verzeichnis-Application hat und die Upload-API nutzen kann, kann beliebige Dateien lesen, auf die der Repo-Server zugreifen kann. Dazu gehören Service-Account-Tokens, eingebundene private Schlüssel und Repository-Zugangsdaten. Die Verwendung von importstr auf einem Gerät wie /dev/zero kann zudem den Arbeitsspeicher des Repo-Servers erschöpfen.

Betroffen

• Argo CD ab 0.9.0 bis, aber ohne 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2
• Der CNA-Eintrag nennt 3.3.1 als Korrektur für den 3.3-Zweig; die Herstellerversion mit der Korrektur ist 3.3.15

Behoben in

• 3.3.15
• 3.4.10
• 3.5.4
• 3.6.0-rc2

Umgehung

• Setzen Sie jsonnet.enable auf 'false' im ConfigMap argocd-cm. Argo CD wertet .jsonnet-Dateien dann nicht mehr aus.
• Nebenwirkung: Applications, die auf Jsonnet angewiesen sind, rendern diese Manifeste nicht mehr.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt.
• Bis 21. Okt. 2026 wurde kein öffentlicher Proof-of-Concept gefunden (sekundäre Quelle, möglicherweise veraltet).

Unsere Empfehlung

• Erfassen Sie alle Argo-CD-Instanzen und deren Versionen.
• Aktualisieren Sie auf die korrigierte Version Ihrer Minor-Linie (3.3.15, 3.4.10, 3.5.4 oder 3.6.0-rc2 oder neuer).
• Falls das Patchen verzögert wird, setzen Sie jsonnet.enable auf 'false' und akzeptieren Sie, dass Jsonnet-basierte Applications nicht mehr gerendert werden.
• Beschränken Sie Schreibrechte auf Repositories und die Berechtigung Application get auf vertrauenswürdige Benutzer.
• Prüfen Sie, ob die Argo-CD-Oberfläche und -API aus dem Internet erreichbar sind, und beschränken Sie den Zugriff.
• Überwachen Sie ungewöhnliche Application-Uploads und Zugriffe auf sensible Dateien.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-m3vr-7329-44ww github.com
• Argo CD release v3.3.15 github.com
• Argo CD release v3.4.10 github.com
• Argo CD release v3.5.4 github.com
• Argo CD release v3.6.0-rc2 github.com
• Argo CD documentation: Disable built-in tools argo-cd.readthedocs.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:13.