Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-88

CVE-2026-113708

Argo CD Kustomize uzak referansı üzerinden repo-server içinde komut çalıştırma

argoproj argo-cd

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
20 Eki 2026
Açık yaşı
7 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, Kubernetes dağıtımlarınızı yöneten bir araçta uzaktan komut çalıştırılmasına olanak tanıyabilir ve depo erişim bilgileri gibi hassas verilerin sızması riskini doğurur. Düşük yetkili bir hesap bile saldırı için yeterli olabileceğinden acil müdahale gerekir. Etkilenen sürümleri belirleyip vendor'ın yayımladığı düzeltilmiş sürümlere geçiş yapılması önerilir.

ÖzetTürkçe

Argo CD'nin Kustomize ile uzak kaynak, base veya component URL'lerinden gelen ref ya da version değerlerini git fetch komutuna bir seçenek ayırıcı olmadan aktarması nedeniyle oluşan bir hatadır. Tire ile başlayan bir değer --upload-pack olarak yorumlanabilir ve file:// gibi yerel taşıma kullanıldığında argocd-repo-server içinde komut çalıştırılabilir. 2.7.0 ile 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 arasındaki sürümler etkilenmektedir; 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümleri bu sorunu giderir.

Saldırgan ne yapabilir?

Saldırgan, repo-server kullanıcısı yetkisiyle komut çalıştırabilir; bu sayede depo kimlik bilgilerine ve süreçten erişilebilen diğer verilere ulaşabilir, çıktıyı manifest oluşturma hataları üzerinden geri alabilir.

Kaynaktaki açıklama (İngilizce)

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.7.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Kustomize passes ref or version query values from remote resource, base, or component URLs to git fetch without an end-of-options separator. A leading-hyphen value can be parsed as --upload-pack and execute a command inside argocd-repo-server when the remote uses a local transport such as file://. Git does not run the supplied command for an https:// remote. The local transport does not leave the pod, so blocking repo-server egress does not prevent the execution. The command runs as the repo-server user, can read repository credentials and other process-accessible data, and can return output through manifest-generation errors. An attacker can commit a Kustomization to a Git repository that an Application builds or upload files through POST /api/v1/applications/manifestsWithFiles, also exposed by argocd app diff --local --server-side-generate. The upload path requires only Application get permission on an existing Application, without Application update or sync permission or repository write access. Kustomize 5.0.0 introduced acceptance of file://, whereas 4.5.7 rejects that transport; replacing the affected Kustomize with a newer version alone does not correct the missing option separator. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2.

Ne yapmalı?

  1. Argo CD'yi 3.3.15, 3.4.10, 3.5.4 veya 3.6.0-rc2 sürümlerinden uygun olanına, bulunduğunuz dal için güncelleyin. Genel öneri
  2. Kustomize'ı yeni bir sürümle değiştirmenin tek başına yeterli olmadığını unutmayın; bu sorun yalnızca güncellemeyle giderilir. Genel öneri
  3. Güncelleme tamamlanana kadar, Application get yetkisine sahip kullanıcıların ve dışarıdan erişilebilen manifestsWithFiles uç noktasının kullanımını kısıtlayın. Genel öneri
  4. Güncelleme sonrasında repo-server'ın yeniden başlatıldığını ve yeni sürümün çalıştığını doğrulayın. Genel öneri

Ek önlemler

  • Repo-server'ın kullandığı depo kimlik bilgilerini düzenli olarak döndürün ve en az yetki ilkesini uygulayın. Genel öneri
  • Application oluşturma ve düzenleme yetkilerini yalnızca gerekli kullanıcılara verin, get yetkisini de sınırlandırın. Genel öneri
  • Repo-server süreçlerinde beklenmeyen komut çalıştırma veya olağandışı git işlemlerini izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
argoproj argo-cd Sürüm belirtilmemiş –

Kaynaklar11 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.