30秒で判断
- 対応すべき人: Argo CD 3.2 系（< 3.2.11）／ 3.3 系（< 3.3.9）を利用し、読み取り専用を含む複数ユーザーへ権限を付与している方
- 対応不要な人: 3.2.11 / 3.3.9 以降を利用している方、Argo CDを使用していない方
- 確認コマンド:
argocd versionまたはコンテナイメージのタグでバージョンを確認
概要
Argo CDはKubernetes向けの宣言的GitOps継続的デリバリツールで、多くの組織でアプリケーションのデプロイ基盤として利用されています。本脆弱性（CWE-200: 情報漏えい）は、ServerSideDiffエンドポイントにおける認可とデータマスキングの不備に起因します。
読み取り専用（read-only）権限しか持たない攻撃者が、Kubernetes APIサーバーのServer-Side Apply dry-run機構を悪用することで、etcd上に保存されているKubernetes Secretを平文で抽出できます。通常、閲覧権限のユーザーはSecretの中身を参照できないことが期待されますが、このエンドポイントを経由すると本来マスクされるべき機密情報が露出します。データベース認証情報やAPIキーなどがSecretに格納されているケースが多く、漏えい時の影響は広範に及ぶ可能性があります。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.6（Critical） |
| CWE | CWE-200（情報漏えい） |
| 前提条件 | 読み取り専用を含むアカウントアクセス |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| Argo CD | 3.2.0 〜（< 3.2.11） |
| Argo CD | 3.3.0 〜（< 3.3.9） |
修正バージョンと回避策
- 修正版: 3.2.11 / 3.3.9 以降へアップデートしてください。
- アップデートまでの間は、不要なユーザーの権限付与を見直し、Secretへのアクセス範囲を最小化することを推奨します。
- 漏えいが疑われる場合は、影響を受けたSecret（認証情報・APIキー等）のローテーションを検討してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。