argo-cd に情報漏洩(CVE-2026-42880・CVSS 9.6)

概要

argo-cd に脆弱性 (CVE-2026-42880) が存在。機密情報が外部に流出する可能性があります。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

There is a missing authorization and data-masking gap in Argo CD's ServerSideDiff endpoint that allows an attacker with read-only access to extract plaintext Kubernetes Secret data from etcd via the Kubernetes API server's Server-Side Apply dry-run mechanism.

Details

Argo CD masks Secret data in every endpoint that returns Kubernetes resource state except one. All the other endpoints such as GetManifests, GetManifestsWithFiles, GetResource and PatchResource utilize hideSecretData() to mask the returned secret value. The vulnerable function ServerSideDiff gRPC/REST endpoint (/application.ApplicationService/ServerSideDiff) constructs its response with raw, unmasked PredictedLive and NormalizedLive states:

// server/application/application.go:3051-3062
responseDiffs = append(responseDiffs, &v1alpha1.ResourceDiff{
    TargetState:     string(diffRes.PredictedLive),
    LiveState:       string(diffRes.NormalizedLive),
})

A user only requires RBAC to call this ServerSideDiff function. Every authenticated Argo CD user has get access via the default role:catch-all policy. However, Argo CD has a defense layer called removeWebhookMutation() that normally strips non-Argo CD-managed fields from the Server Side Apply (SSA) dry-run response and merges them with the client-provided (masked) live state. This prevents real Secret values from leaking through the diff. However, this defense is entirely skipped when the Application has the annotation argocd.argoproj.io…

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Argo CD の特定のバージョンには、Kubernetes Secret のデータを安全に隠す機能が欠けているため、攻撃者が機密情報を取得できる問題があります。これは、過去に ID やパスワードが漏洩したセキュリティ事件と同様のリスクを含んでいます。この問題を解決するためには、できるだけ早く修正版にアップデートすることが必要です。

Argo CD の ServerSideDiff エンドポイント (/application.ApplicationService/ServerSideDiff) に、認可とデータマスキングの欠如があります。この問題は、バージョン 3.2.0 から 3.2.11 未満および 3.3.0 から 3.3.9 未満に存在し、Kubernetes API server の Server-Side Apply ドライランメカニズムを使用し、read-only アクセスを持つ攻撃者が etcd からプレーンテキストの Kubernetes Secret データを取得することを許可します。修正バージョンは 3.2.11 と 3.3.9 です。暫定回避策として、Application の annotation で argocd.argoproj.io/compare-options: IncludeMutationWebhook=true を使用しないことを推奨します。

❓ 何が問題か

CVE-2026-42880 に 情報漏洩 (CWE-200) があります。

📍 影響範囲

CVE-2026-42880 のうち。

🔥 重要度

重要度: 最重要 (CVSS 9.6/10)。機密情報が外部に流出する可能性があります

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2021-3415

Similar GitOps GitHub Actions vulnerability allowing sensitive data exposure.

CVE-2022-21716

Another Kubernetes Secret exposure vulnerability via misconfigured permissions.

もし自社で起きたら業務シナリオごとの想定影響

📌 Kubernetes-based deployment environments.

Potential leakage of Kubernetes Secret data leads to unauthorized access.

📌 DevOps pipelines using Argo CD for CI/CD.

Confidential data leakage could compromise the deployment pipeline security.

📌 Companies utilizing Kubernetes for sensitive workloads.

Risk of exposing sensitive configuration or credentials stored in Secrets.

推奨アクション

Companies should immediately patch Argo CD to the latest safe versions and audit system accesses to the affected endpoints.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
Audit SBOM/dependencies for affected components.
```
依存マニフェストで影響コンポーネントを特定する。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

go github.com/argoproj/argo-cd/v3

[{"type":"SEMVER","events":[{"introduced":"3.3.0"},{"fixed":"3.3.9"}]}]

Bitnami argo-cd

[{"type":"SEMVER","events":[{"introduced":"3.2.0"},{"fixed":"3.2.11"},{"introduced":"3.3.0"},{"fixed":"3.3.9"}]}]

概要