CVE-2026-42880

Argo CD: ujawnienie danych Secret Kubernetes przez endpoint ServerSideDiff

CVSS 9.6v3.1pub. 2026-05-07upd. 2026-06-30

W narzędziu Argo CD wykryto lukę umożliwiającą nieautoryzowany dostęp do poufnych danych. Atakujący posiadający jedynie uprawnienia do odczytu może wyciągnąć niezaszyfrowane dane z obiektów Kubernetes Secret przechowywanych w etcd.

▸ Pokaż oryginał (EN)

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From versions 3.2.0 to before 3.2.11 and 3.3.0 to before 3.3.9, there is a missing authorization and data-masking gap in Argo CD's ServerSideDiff endpoint that allows an attacker with read-only access to extract plaintext Kubernetes Secret data from etcd via the Kubernetes API server's Server-Side Apply dry-run mechanism. This issue has been patched in versions 3.2.11 and 3.3.9.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej autoryzacji oraz maskowania danych w endpoincie ServerSideDiff. Endpoint ten korzysta z mechanizmu Server-Side Apply dry-run dostępnego w Kubernetes API Server. Atakujący z uprawnieniami tylko do odczytu może wysłać odpowiednio spreparowane żądanie do tego endpointu, które pośrednio pobiera i zwraca dane z obiektów Kubernetes Secret w postaci jawnego tekstu z magazynu etcd, omijając mechanizmy maskowania wrażliwych wartości.

Skutki

Atakujący może uzyskać pełny dostęp do danych przechowywanych w obiektach Kubernetes Secret w postaci plaintext, takich jak hasła, tokeny, klucze API czy certyfikaty. Naruszenie dotyczy poufności i integralności danych przechowywanych w klastrze Kubernetes.

Mitygacja

Należy zaktualizować Argo CD do wersji 3.2.11 lub 3.3.9, w których podatność została naprawiona. Patche dostępne są w oficjalnym repozytorium projektu zgodnie z podanymi referencjami.