Argo CD: Command Injection über Kustomize-Remote-Ref im repo-server

Zusammenfassung

Argo CD übergibt ref- oder version-Werte aus entfernten Kustomize-Resource-, Base- oder Component-URLs ohne Options-Endtrennzeichen an git fetch. Ein Wert mit führendem Bindestrich kann als --upload-pack interpretiert werden und einen Befehl im argocd-repo-server ausführen, wenn das Remote einen lokalen Transport wie file:// verwendet. Ein Angreifer, der nur die Berechtigung Application get auf einer bestehenden Application besitzt oder ein Kustomization in ein Git-Repository committen kann, das eine Application baut, kann Befehle als Benutzer des repo-server ausführen, Repository-Zugangsdaten lesen und die Ausgabe über Fehlermeldungen der Manifest-Generierung zurückerhalten. Der Hersteller stuft das Problem als kritisch ein (CVSS 3.1 9.9).

Betroffen

• Argo CD 2.7.0 bis 3.3.15 (ohne 3.3.15)
• Argo CD 3.4.0-rc1 bis 3.4.10 (ohne 3.4.10)
• Argo CD 3.5.0-rc1 bis 3.5.4 (ohne 3.5.4)
• Argo CD 3.6.0-rc1 bis 3.6.0-rc2 (ohne 3.6.0-rc2)

Behoben in

• 3.3.15
• 3.4.10
• 3.5.4
• 3.6.0-rc2 (der OSV-Eintrag nennt 3.6.0; mit der Herstellerseite der Version abgleichen)

Umgehung

Unbekannt. Der Austausch von Kustomize durch eine neuere Version allein behebt das fehlende Options-Endtrennzeichen nicht.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Aggregator meldet keinen öffentlichen Exploit; nicht verifiziert.

Unsere Empfehlung

• Argo CD auf eine korrigierte Version Ihres Release-Zweigs aktualisieren und prüfen, ob ein neueres Patch-Release verfügbar ist.
• Prüfen, welche Benutzer die Berechtigung Application get besitzen und wer in Repositories committen kann, die Argo CD baut, und beides auf die nötigen Konten beschränken.
• Den Zugriff auf die Argo-CD-API und die Benutzeroberfläche auf vertrauenswürdige Netzwerke beschränken.
• Logs des repo-server auf ungewöhnliche Fehlermeldungen bei der Manifest-Generierung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9v9p-x54c-58gc github.com
• Argo CD release v3.3.15 github.com
• Argo CD release v3.4.10 github.com
• Argo CD release v3.5.4 github.com
• Argo CD release v3.6.0-rc2 github.com
• Argo CD fix commit 25badeb github.com
• Argo CD pull request 12299 github.com
• OSV entry BIT-argo-cd-2026-113708 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:12.