Ungepatchte Schwachstelle in Argo CD Repo-Server könnte Kubernetes-Cluster zur Übernahme offenlegen

Sicherheitsforscher warnen, dass eine ungepatchte Schwachstelle in der Repo-Server-Komponente von Argo CD Angreifern die Ausführung von Code und möglicherweise die Kontrolle über einen Kubernetes-Cluster ermöglichen könnte, sofern sie den Dienst im internen Netzwerk erreichen können.

Das Problem wurde von Synacktiv identifiziert. Das Unternehmen erklärte, es habe die Argo-CD-Verantwortlichen im Januar 2025 darüber informiert. Nachdem etwa 18 Monate lang weder eine Behebung noch eine CVE-Zuweisung erfolgt war, veröffentlichte das Unternehmen die Erkenntnisse, um Nutzer zu warnen. Der Analyse zufolge betrifft die Schwachstelle die gRPC-Schnittstelle des Repo-Servers, die keine Authentifizierung erfordert.

So funktioniert der Angriff

Argo CD verwendet den Repo-Server, um Git-Repositorys abzurufen und Kubernetes-Manifeste zu generieren. Synacktiv stellte fest, dass eine nicht authentifizierte Anfrage an den GenerateManifest-Dienst so gestaltet werden kann, dass kustomize angewiesen wird, ein Skript aus einem vom Angreifer kontrollierten Repository statt der erwarteten Helm-Binärdatei aufzurufen. Bei der Verarbeitung der Anfrage führt der Dienst dieses Skript aus.

Das Ausmaß der Gefährdung hängt stark von der Netzwerkreichbarkeit ab. Argo CD bietet Kubernetes-Netzwerkrichtlinien, die den Repo-Server und Redis vom restlichen Cluster isolieren sollen. Synacktiv weist jedoch darauf hin, dass diese Schutzmaßnahmen bei der üblichen Helm-basierten Installation standardmäßig deaktiviert sind. In dieser Konfiguration kann ein kompromittierter Pod an einer anderen Stelle im Cluster möglicherweise den Repo-Server kontaktieren und die Schwachstelle auslösen.

Warum die Auswirkungen schwerwiegend sind

Die Ausführung von Code auf dem Repo-Server kann ausreichen, um tiefer in die Umgebung vorzudringen. Synacktiv zeigte, dass ein Angreifer das Redis-Passwort aus der Umgebung der Komponente auslesen, eine Verbindung zum Redis-Cache von Argo CD herstellen und gespeicherte Bereitstellungsdaten ändern könnte. Beim nächsten Synchronisierungszyklus würde Argo CD vom Angreifer bereitgestellte Inhalte ausrollen.

Die Forscher erklärten, dass dadurch auch das Angriffsmuster hinter CVE-2024-31989 erneut relevant wird. Dabei konnten Pods aufgrund unzureichender Redis-Schutzmaßnahmen den Bereitstellungsstatus manipulieren. Argo CD fügte später zwar ein Redis-Passwort hinzu, doch die Cache-Daten selbst sind nicht kryptografisch signiert. Daher können aus dem laufenden Dienst ausgelesene Geheimnisse weiterhin missbraucht werden.

Was Administratoren tun sollten

• Kubernetes-Netzwerkrichtlinien für Argo-CD-Komponenten aktivieren, insbesondere für den Repo-Server und Redis.
• Schutzmaßnahmen mit kubectl get networkpolicy -A überprüfen.
• Bestätigen, dass die erwarteten Richtlinien in jedem von Argo CD verwendeten Namespace vorhanden sind.

Synacktiv erklärte, ein Angriffstool namens argo-cdown entwickelt zu haben, verzögere dessen Veröffentlichung jedoch, um Verteidigern Zeit zu geben, ihre Bereitstellungen abzusichern. Bis ein Patch verfügbar ist, empfiehlt das Unternehmen, das Clusternetzwerk als nicht vertrauenswürdig zu behandeln und den Zugriff so weit wie möglich einzuschränken.