Argo CD: Umgehung von AppProject-Einschränkungen durch PreDelete/PostDelete-Hooks

Zusammenfassung

Argo CD wendet die Zielbereichs- und Ressourcen-Erlaubt- bzw. Verbotslisten der AppProject-Konfiguration nicht auf PostDelete-Ressourcen-Hooks an (in Version 3.3 und neuer auch nicht auf PreDelete-Hooks). Ein Benutzer mit Schreibzugriff auf das Git-Repository einer Application kann einen Delete-Hook committen, der auf einen verbotenen Namespace, Server oder Ressourcentyp zielt. Beim Löschen der Application erstellt der Application-Controller diese Ressource mit den Zugangsdaten des Zielclusters, was auch cluster-weite Ressourcen und dauerhafte Hook-Objekte umfassen kann. Voraussetzung sind Schreibzugriff auf das Git-Repository und die Berechtigung, die Application zu löschen; das Web-UI oder die API von Argo CD ist nicht der Einstiegspunkt.

Betroffen

• Argo CD 2.10.0 bis 2.14.21
• Argo CD 3.0.0 bis 3.3.14
• Argo CD 3.4.0 bis 3.4.9
• Argo CD 3.5.0 bis 3.5.3
• Argo CD 3.6.0-rc1
• Argo CD 2.9.22 und früher sind gemäss Herstellerhinweis nicht betroffen.

Behoben in

• Argo CD 3.3.15
• Argo CD 3.4.10
• Argo CD 3.5.4
• Argo CD 3.6.0-rc2
• Neuere Patch-Releases existieren; verwenden Sie das aktuellste Patch-Release Ihres Zweigs und prüfen Sie dessen Release-Notes.

Umgehung

• Gemäss Herstellerhinweis schliesst keine Konfigurationseinstellung die Lücke, solange Delete-Hooks verwendet werden.
• Schreibzugriff auf Git-Repositories der Applications einschränken (Branch Protection, verpflichtendes Review von Änderungen an Deployment-Pfaden).
• Repositories auf PreDelete- und PostDelete-Hook-Manifeste prüfen.
• Berechtigungen zum Löschen von Applications einschränken.
• Cluster-RBAC des Application-Controllers einschränken, da die erreichbare Wirkung dadurch begrenzt wird.

Ausnutzung

• Es sind keine bestätigten Ausnutzungen in freier Wildbahn bekannt.
• Es sind keine öffentlichen Proof-of-Concepts bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Argo CD auf ein gepatchtes Release (3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 oder neuer) aktualisieren. Versionen 2.x sowie 3.0 bis 3.2 sind anhand der offiziellen Support-Richtlinie zu prüfen und auf ein gepatchtes 3.3+-Release umzustellen.
• Schreibzugriff auf Application-Git-Repositories einschränken und Änderungen verbindlich prüfen lassen.
• Bestehende Repositories auf Delete-Hook-Manifeste prüfen und nach unerwarteten Ressourcen in verbotenen Namespaces oder cluster-weiten Ressourcen suchen.
• Berechtigungen zum Löschen von Applications einschränken und die Cluster-Berechtigungen des Controllers reduzieren.
• Löschvorgänge von Applications und von Hook-Jobs erstellte Ressourcen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-fmxq-cgp8-87wp github.com
• Argo CD release v3.3.15 github.com
• Argo CD release v3.4.10 github.com
• Argo CD release v3.5.4 github.com
• Argo CD release v3.6.0-rc2 github.com
• Fix commit 1149cdc (release-3.3) github.com
• OSV entry BIT-argo-cd-2026-77459 osv.dev
• Go vulndb issue 6784 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:25.