Akuity Kargo: Rechteerweiterung über die projektbezogene RBAC-API

Zusammenfassung

Kargo, eine Plattform zur Automatisierung der Promotion von Software-Artefakten, enthält zwei Autorisierungsfehler in der projektbezogenen RBAC-API. Ein authentifizierter Benutzer, dem die Verwaltung der Roles oder ServiceAccounts eines Projekts delegiert wurde, kann sich selbst oder anderen Berechtigungen verschaffen, die er nicht besitzt, da Änderungen nach einer nur groben Prüfung mit den privilegierten Zugangsdaten des API-Servers geschrieben werden. Eine erfolgreiche Ausnutzung kann zu Projektadministrator-Zugriff, zur Offenlegung von Projekt-Secrets und Zugangsdaten (einschliesslich Git-, Container-Registry- und Helm-Registry-Zugangsdaten) sowie zur Änderung oder Löschung von Projektressourcen führen. Die Rechteerweiterung beschränkt sich auf das betroffene Projekt; Standardrollen ohne Administratorrechte sind nicht betroffen, und die Ausnutzung erfordert eine vom Administrator erstellte benutzerdefinierte Rolle mit RBAC-Verwaltungsrechten sowie die Kontrolle über ein Konto, dem diese Rolle zugewiesen ist.

Betroffen

• Kargo ab 0.6.0 bis vor 1.8.14
• Kargo ab 1.9.0-rc.1 bis vor 1.9.9
• Kargo ab 1.10.0-rc.1 bis vor 1.10.8
• Weitere Release-Zweige: Unbekannt.

Behoben in

• 1.8.14
• 1.9.9
• 1.10.8

Umgehung

• Unbekannt.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Status im CISA-KEV-Katalog: Unbekannt.

Unsere Empfehlung

• Alle Kargo-Installationen identifizieren und auf 1.8.14, 1.9.9 oder 1.10.8 (oder eine spätere fixe Version) aktualisieren.
• Vom Administrator erstellte benutzerdefinierte Rollen sowie die Benutzer prüfen, die Roles oder ServiceAccounts in jedem Projekt bearbeiten können.
• Bestehende Role-Bindings auf unerwartete Identitäten prüfen.
• Git-, Registry- und Helm-Zugangsdaten in betroffenen Projekten rotieren, wenn Missbrauch vermutet wird oder der Zugriff breiter war als vorgesehen.
• Die offizielle Advisory und den NVD-Eintrag bestätigen, da der NVD-Status Deferred ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wp4p-hr79-q4g8 github.com
• Kargo release v1.8.14 github.com
• Kargo release v1.9.9 github.com
• Kargo release v1.10.8 github.com
• Fix commit 19639678811b486bddb014dabb25397771f3941e github.com
• Fix commit 50d29c10153965114f903645c83eadbe7bf58d3f github.com
• Fix commit 5ab7c4216a4151f55ea8ef9ff3b9f884dd322578 github.com
• Fix commit 72fadd3600b35e6dce67042eb686720a48b45fa3 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:23.