「Argo CD」に深刻な脆弱性 - トークンやAPIキー漏洩のおそれ

「Kubernetes」向けの継続的デリバリツール「Argo CD」に深刻な脆弱性が明らかとなった。

同ツールの「ServerSideDiff」エンドポイントにおいて、認可処理やシークレット情報に対するマスキング処理に不備が判明したもの。「CVE-2026-42880」が割り当てられている。

本来マスクされるサービスアカウントのトークン、TLS証明書、データベース認証情報、APIキーなど「Kubernetes」のシークレットを平文で応答するため、条件を満たすアプリケーションでは、限定的な読み取り権限のみ与えられている利用者に漏洩するおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。すでに脆弱性の詳細や実証コードも公開されている。

開発チームでは、現地時間2026年4月30日に脆弱性を修正した「同3.3.9」「同3.2.11」をリリースしており、利用者にアップデートを呼びかけている。

（Security NEXT - 2026/05/08 ）ツイート