Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • CWE-829

CVE-2026-113709

Argo CD Kustomize/Helm yapılandırma dizini üzerinden repo-server içinde komut çalıştırma

argoproj argo-cd

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
21 Eki 2026
Açık yaşı
8 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, Kubernetes uygulama dağıtımlarını yöneten bir sistemde kötü niyetli kişilerin sunucu üzerinde komut çalıştırmasına ve dağıtım sistemindeki erişim bilgilerini ele geçirmesine olanak tanıyabilir. Yalnızca belirli bir ayar açık olan kurulumlar etkilenir, ancak etkilenen sistemlerde risk yüksektir ve güncelleme acil olarak planlanmalıdır.

ÖzetTürkçe

Argo CD, Kubernetes için GitOps tabanlı bir sürekli dağıtım aracıdır. 2.1.0 ile 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 öncesi sürümlerde, operatör kustomize build için --enable-helm seçeneğini etkinleştirdiğinde helmGlobals.configHome değeri depo kontrolündeki bir konuma yönlendirilebiliyor. Bu durumda Helm, depo içindeki bir indirici eklentisini ek kurulum adımı olmadan yükleyip argocd-repo-server içinde çalıştırabiliyor. Etkilenen kurulumlar, --enable-helm seçeneğini açık tutan Argo CD dağıtımlarıdır.

Saldırgan ne yapabilir?

Saldırgan, repo-server kullanıcı yetkileriyle keyfi komut çalıştırabilir; depo kimlik bilgilerine ve işlem tarafından erişilebilen diğer verilere ulaşabilir.

Kaynaktaki açıklama (İngilizce)

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.1.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, when an operator has enabled --enable-helm for kustomize build, helmGlobals.configHome can point Helm's config and data directories at a repository-controlled location. Helm automatically loads a downloader plugin from <configHome>/.data/plugins without a separate plugin-install step and executes its program inside argocd-repo-server when a helmCharts repository URL uses the plugin's protocol. The command runs as the repo-server user and can read repository credentials and other process-accessible data. An attacker can commit the Kustomization and plugin to a Git repository that an Application builds or upload the files through POST /api/v1/applications/manifestsWithFiles, also exposed by argocd app diff --local --server-side-generate. The upload path requires only Application get permission on an existing Application, without Application update or sync permission or repository write access. Both delivery paths require prior operator enablement of --enable-helm; deployments that do not enable it are not affected. Kustomize 4.1.0 first passed helmGlobals.configHome through to Helm. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2.

Ne yapmalı?

  1. Argo CD'yi, sorunun giderildiği 3.3.15, 3.4.10, 3.5.4 veya 3.6.0-rc2 ve sonrası sürümlerden birine güncelleyin. Kullandığınız dal için uygun düzeltilmiş sürümü seçin. Genel öneri
  2. Güncelleme yapana kadar kustomize build işlemi için Helm desteğini (--enable-helm) kapatın; bu ayar açık değilse bu açık bu yol üzerinden kullanılamaz. Genel öneri
  3. Application get yetkisi verilen kullanıcıları gözden geçirin ve gereksiz erişimleri kaldırın; özellikle manifestsWithFiles uç noktasına erişimi kısıtlayın. Genel öneri
  4. Repo-server'ın kullandığı depo kimlik bilgilerini, güncellemeden sonra gerekiyorsa yenileyin. Genel öneri

Ek önlemler

  • Argo CD yapılandırmasında --enable-helm seçeneğinin gerçekten gerekli olup olmadığını düzenli olarak kontrol edin. Genel öneri
  • Git depolarına yapılan değişiklikleri, özellikle Kustomization ve Helm eklenti dosyalarını içerenleri, inceleme sürecinden geçirin. Genel öneri
  • Repo-server günlüklerini beklenmedik süreç çalıştırmaları ve olağandışı dosya erişimleri açısından izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
argoproj argo-cd Sürüm belirtilmemiş –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.