Falha crítica no Argo CD permite execução de código não autenticado

Um grave problema de segurança foi identificado no Argo CD, uma ferramenta amplamente utilizada para implantações em Kubernetes. A falha, localizada no componente repo-server, permite que um atacante não autenticado execute código, desde que consiga acessar a porta interna do componente. A empresa Synacktiv, que descobriu a vulnerabilidade, alertou os mantenedores do Argo CD em janeiro de 2025, mas, após dezoito meses, a falha continua sem correção e não possui um CVE atribuído.

O problema reside na falta de autenticação do serviço gRPC interno do repo-server, que aceita solicitações maliciosas. Um atacante pode explorar essa vulnerabilidade para injetar scripts a partir de um repositório Git controlado por ele, utilizando a ferramenta kustomize, que o Argo CD utiliza para gerar manifests do Kubernetes. Além disso, a configuração padrão do Helm chart do Argo CD não ativa as políticas de rede, permitindo que um invasor que comprometa um único pod no cluster acesse o repo-server e execute o ataque.

A Synacktiv demonstrou como, após obter acesso ao repo-server, é possível ler a senha do Redis do cluster e envenenar os dados de implantação, resultando na execução de cargas de trabalho maliciosas. Sem uma versão corrigida disponível, a única defesa recomendada é a implementação de políticas de rede do Kubernetes para isolar o repo-server e o Redis. A situação é alarmante, pois expõe a vulnerabilidade contínua do Argo CD a ataques, destacando a necessidade de atenção imediata por parte dos administradores de sistemas.

Fonte: https://thehackernews.com/2026/07/unpatched-argo-cd-repo-server-flaw.html

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).