Argo CD: Codeausführung über Kustomize-Helm-configHome im Repo-Server

Zusammenfassung

Argo CD-Versionen ab 2.1.0 bis zu den korrigierten Releases können im Repo-Server Befehle ausführen, wenn der Betreiber --enable-helm für kustomize build aktiviert hat. Ein durch das Repository gesteuertes helmGlobals.configHome bewirkt, dass Helm ein Downloader-Plugin lädt, das ohne separate Installation ausgeführt wird. Der Befehl läuft als Benutzer des Repo-Servers und kann Repository-Zugangsdaten sowie andere prozesszugängliche Daten lesen. Der Upload-Weg über manifestsWithFiles benötigt nur die Berechtigung Application get auf einer bestehenden Application.

Betroffen

• Argo CD 2.1.0 bis, aber ausschliesslich, 3.3.15
• Argo CD 3.4.0-rc1 bis, aber ausschliesslich, 3.4.10
• Argo CD 3.5.0-rc1 bis, aber ausschliesslich, 3.5.4
• Argo CD 3.6.0-rc1 bis, aber ausschliesslich, 3.6.0-rc2
• Nur wenn --enable-helm für kustomize build aktiviert ist

Behoben in

• 3.3.15
• 3.4.10
• 3.5.4
• 3.6.0-rc2

Umgehung

Unbekannt.

• Falls --enable-helm für kustomize build nicht benötigt wird, diese Option bis zur Installation des Patches deaktivieren (Übergangsmassnahme, keine Anweisung des Herstellers).
• Berechtigung Application get und Zugriff auf die manifestsWithFiles-API auf vertrauenswürdige Benutzer beschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total (laut CNA-Eintrag).
• Zum Zeitpunkt der Recherche sind kein öffentlicher Exploit und keine bestätigte Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Prüfen, ob Argo CD mit --enable-helm für kustomize build läuft. Falls ja, auf eine korrigierte Version mit hoher Priorität aktualisieren.
• Andernfalls das Update im regulären Patch-Zyklus einplanen.
• Prüfen, wer Zugriff auf Argo CD hat und die Berechtigung Application get besitzt, sowie die Zugangsdaten des Repo-Servers überprüfen.
• Nach dem Update Workflows mit helmGlobals.configHome-basierten Plugins testen, da diese nicht mehr funktionieren könnten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Argo CD documentation: Kustomize argo-cd.readthedocs.io
• Argo CD fix commit b6d5c23 github.com
• Argo CD pull request 6059 github.com
• Argo CD release v3.3.15 github.com
• Argo CD release v3.4.10 github.com
• Argo CD release v3.5.4 github.com
• Argo CD release v3.6.0-rc2 github.com
• GitHub Security Advisory GHSA-fw5c-w8rc-j7fx github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:12.