Argo - CVE-2026-55797
Date de publication :
Il s’agit d’une vulnérabilité dans le repo-server d’Argo CD.
Argo CD est un outil de livraison continue déclaratif de type GitOps pour Kubernetes. Il utilise des dépôts Git, Helm et OCI comme source de configuration. Son composant repo-server clone et récupère ces dépôts.
Le composant exécute une commande shell lorsqu’il clone, teste ou récupère un dépôt Git SSH configuré avec une URL de proxy. L’hôte et le port du proxy sont copiés dans une ProxyCommand SSH. La commande passe par un shell sans neutralisation des métacaractères. Un hôte qui contient des métacaractères sort donc de la commande et s’exécute dans le repo-server. Les URL de proxy http, https et socks5 suivent ce chemin sur un dépôt SSH. Un dépôt Git HTTPS n’est pas concerné. Le proxy peut être défini par toute personne qui peut créer ou modifier un dépôt ou un modèle d’identifiants. Cela couvre une permission de dépôt limitée à un projet, la commande argocd repo add --proxy et un Secret de dépôt. Un modèle d’identifiants applique son proxy à tous les dépôts SSH correspondants qui n’ont pas leurs propres identifiants. La commande s’exécute au test de connexion du dépôt et à chaque récupération ultérieure. Le comportement vient de la prise en charge du proxy SOCKS5 pour les URL Git SSH, ajoutée dans la version 2.11.0. *
Elle permet l’exécution de commandes arbitraires sur le repo-server et l’accès aux identifiants Git, Helm et OCI qu’il stocke.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-78 : Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Argo CD versions 2.11.0 jusqu’à 2.14.21 (branche 2.x en fin de support)
• Argo CD versions 3.0.0 jusqu’à 3.3.14 (branches 3.0 à 3.2 en fin de support)
• Argo CD versions 3.4.0 jusqu’à 3.4.9
• Argo CD versions 3.5.0 jusqu’à 3.5.3
• Argo CD version 3.6.0-rc1
Contournement provisoire
• Ne pas accorder la création ou la modification de dépôts à des utilisateurs non fiables, y compris par une permission de dépôt limitée à un projet.
• Ne pas définir de proxy sur un dépôt SSH ni sur un modèle d’identifiants qui s’applique à des dépôts SSH.
• Un dépôt HTTPS avec un proxy HTTP n’utilise pas cette commande. Vérifier les Secrets de dépôts et de modèles d’identifiants à la recherche de valeurs de proxy inattendues.
Solutions ou recommandations
• Argo CD 3.4 versions 3.4.10 et supérieures.
• Argo CD 3.5 versions 3.5.4 et supérieures.
• Argo CD 3.6 versions 3.6.0-rc2 et supérieures.
• Argo CD 2.x et 3.0 à 3.2 ne recevront aucun correctif. L’éditeur demande de passer à une version 3.3 ou supérieure corrigée.