Argo CD: Command Injection im Repo-Server über SSH-Repository-Proxy-URL

Zusammenfassung

Argo CD enthält in den unten genannten Versionen eine Command Injection im Repo-Server. Ist für ein SSH-Git-Repository eine SOCKS5-Proxy-URL konfiguriert, werden Proxy-Host und Port ungeschützt an einen Shell-Befehl (SSH ProxyCommand) übergeben. Ein Angreifer, der ein Repository oder eine Repository-Credential-Vorlage anlegen oder ändern kann, kann Befehle im Repo-Server ausführen und die dort gespeicherten Git-, Helm- und OCI-Zugangsdaten auslesen. Nicht authentifizierte Angreifer können die Lücke nicht direkt ausnutzen.

Betroffen

• Argo CD 2.11.0 bis 2.14.21
• Argo CD 3.0.0 bis unter 3.3.15
• Argo CD 3.4.0 bis unter 3.4.10
• Argo CD 3.5.0 bis unter 3.5.4
• Argo CD 3.6.0-rc1

Behoben in

• 3.3.15
• 3.4.10
• 3.5.4
• 3.6.0-rc2

Gemäss der Herstellerempfehlung erhalten 2.x sowie 3.0 bis 3.2 keinen Patch und müssen auf eine korrigierte Release-Linie aktualisiert werden.

Umgehung

• Keinen Proxy auf SSH-Repositories setzen und auch nicht auf Credential-Vorlagen, die auf SSH-Repositories passen.
• Einschränken, wer Repositories, Repository-Secrets und Credential-Vorlagen anlegen oder bearbeiten darf (RBAC).
• Bestehende SSH-Repositories auf Proxy-Einstellungen prüfen.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar.
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Status wurde nicht verifiziert.
• Es wurde kein öffentlicher Proof of Concept identifiziert.

Unsere Empfehlung

• Alle Argo-CD-Instanzen und deren Versionen erfassen.
• Auf eine korrigierte Version der eigenen Minor-Linie aktualisieren (3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 oder neuer). Installationen 2.x sowie 3.0 bis 3.2 auf eine unterstützte, korrigierte Version migrieren.
• Bis zum Patch Proxy-Einstellungen von SSH-Repositories und passenden Credential-Vorlagen entfernen.
• Die Verwaltung von Repositories und Zugangsdaten auf vertrauenswürdige Administratoren beschränken; bei Verdacht auf Missbrauch Git-, Helm- und OCI-Zugangsdaten rotieren.
• Die gesamte Argo-CD-Installation aktualisieren, da dieselbe Release-Linie weitere Korrekturen enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-j6cw-g6p4-7hch github.com
• Fix commit 1e3ddd0 (command injection via SSH proxy handling) github.com
• Commit 9b27aeb (SOCKS5 proxy support for SSH Git URLs) github.com
• Pull request 15864 github.com
• Argo CD v3.3.15 release github.com
• Argo CD v3.4.10 release github.com
• Argo CD v3.5.4 release github.com
• Argo CD v3.6.0-rc2 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:51.