Argo CD corrige tres vulnerabilidades críticas en el repo-server que permiten leer credenciales y ejecutar comandos

Qué ha pasado

El proyecto Argo CD, una herramienta de despliegue continuo GitOps para Kubernetes, ha publicado correcciones para tres vulnerabilidades críticas, todas con CVSS 9.9, que afectan al repo-server, el componente que genera los manifiestos a partir de los repositorios Git. Según las notas de la versión 3.3.15 de Argo CD, publicadas el 6 de octubre, las tres figuran como críticas; NVD les asignó identificador CVE el 20 de octubre.

En los tres casos, un atacante puede subir un fichero a un repositorio Git que use una aplicación de Argo CD, o enviarlo mediante la API POST /api/v1/applications/manifestsWithFiles. Esta segunda vía solo requiere permiso de lectura (get) sobre una aplicación existente, sin permisos de actualización, sincronización ni escritura en el repositorio.

• CVE-2026-113672 (GHSA-m3vr-7329-44ww): los ficheros Jsonnet pueden importar cualquier fichero legible por el repo-server mediante rutas absolutas, path traversal o enlaces simbólicos, incluidos tokens de cuentas de servicio, claves privadas y credenciales de repositorios. También permite agotar la memoria del servicio.
• CVE-2026-113708 (GHSA-9v9p-x54c-58gc): un valor manipulado en la referencia de una URL remota de Kustomize puede ejecutar comandos dentro del repo-server cuando se usa el transporte local file://. Bloquear el tráfico de salida del repo-server no lo impide.
• CVE-2026-113709 (GHSA-fw5c-w8rc-j7fx): si el operador ha activado --enable-helm para Kustomize, el parámetro helmGlobals.configHome permite cargar un plugin de Helm controlado por el atacante y ejecutar comandos en el repo-server.

A quién afecta

Según NVD, las versiones afectadas parten de 0.9.0 en el caso de CVE-2026-113672, de 2.7.0 en CVE-2026-113708 y de 2.1.0 en CVE-2026-113709, y llegan hasta las versiones corregidas 3.3.15, 3.4.10, 3.5.4 y 3.6.0-rc2. CVE-2026-113709 solo afecta a despliegues que tengan activada la opción --enable-helm.

Para CVE-2026-113708, NVD precisa que sustituir la versión de Kustomize por una más reciente no corrige por sí solo el fallo. Los comandos se ejecutan con el usuario del repo-server y pueden acceder a las credenciales de los repositorios configurados.

Estado de la explotación

Por ahora no consta explotación activa en el catálogo KEV de CISA ni se conoce ningún exploit público. Aun así, la baja complejidad del ataque y los permisos mínimos que requiere aconsejan actualizar cuanto antes.

Qué hacer

La medida principal es actualizar Argo CD a una versión corregida. Conviene tener en cuenta los cambios incompatibles que recogen las notas de la versión 3.3.15: Kustomize ya no respeta helmGlobals.configHome al renderizar charts de Helm, por lo que dejarán de funcionar las compilaciones que dependan de un plugin registrado desde ese directorio, y se rechazan los manifiestos OCI de más de 4 MiB.

• Actualizar a Argo CD 3.3.15, 3.4.10, 3.5.4 o 3.6.0-rc2, según la rama en uso.
• Comprobar si está activada la opción --enable-helm y desactivarla si no es imprescindible.
• Revisar qué usuarios y cuentas tienen permiso get sobre aplicaciones y limitarlo al mínimo necesario.
• No confiar en el bloqueo del tráfico de salida como mitigación de CVE-2026-113708.
• Si se sospecha de un uso indebido, valorar la rotación de las credenciales de repositorios y de los tokens accesibles desde el repo-server.

Fuentes

• Argo CD v3.3.15 release notes
• Argo CD documentation: custom Kustomize versions
• Argo CD documentation: Disable built-in tools

Tecnologías afectadas

Vulnerabilidades (3)