Intel

CVE-2026-42880

Red Hat Security Advisory: Red Hat OpenShift GitOps v1.19.4 security update

criticalEPSS 0.5 %

Beschreibung

Argo CD ist ein deklaratives, GitOps-basiertes kontinuierliches Bereitstellungstool für Kubernetes. In den Versionen von 3.2.0 bis vor 3.2.11 und von 3.3.0 bis vor 3.3.9 gibt es eine Lücke im Bereich der Autorisierung und Datenmaskierung in Argo CDs ServerSideDiff-Endpunkt, die es einem Angreifer mit nur Lesezugriff ermöglicht, Klartextdaten von Kubernetes Secrets aus etcd über das Server-Side Apply Dry-Run-Mechanismus des Kubernetes API-Servers zu extrahieren. Dieses Problem wurde in den Versionen 3.2.11 und 3.3.9 behoben.

Quelle: REDHAT_CSAFOSVEUVDREDHAT_CSAFCVELISTV5OSVNVDCVEORGOSVOSV

Metriken

Severity
critical
Priority-Score
119.89
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.6
Quelle: nvd-v3
CVSS v3
9.6
CVSS v4
—
EPSS-Perzentil
41.6 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.5 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-05-26 14:49 UTC
CWE
CWE-200, CWE-212

Weakness-Klassen (CWE)

  • CWE-200Class

    Exposure of Sensitive Information to an Unauthorized Actor

    The product exposes sensitive information to an actor that is not explicitly authorized to have access to that information.

    cwe.mitre.org →

  • CWE-212Base

    Improper Removal of Sensitive Information Before Storage or Transfer

    The product stores, transfers, or shares a resource that contains sensitive information, but it does not properly remove that information before the product makes the resource available to unauthorized actors.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-07 13:19 UTC· security-advisories@github.com
    • Reference: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3
    • Reference: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3
    • Reference Type: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3 Types: Exploit, Vendor Advisory
  2. CVE Modified2026-09-07 13:19 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3
    • Reference: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3
    • Reference Type: https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3 Types: Exploit, Vendor Advisory
  3. CVE Modified2026-09-07 13:19 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42880.json">CVE-2026-42880</a>
    • Reference: https://access.redhat.com/errata/RHBA-2026:12433
    • Reference: https://access.redhat.com/errata/RHSA-2026:20943
    • Reference: https://access.redhat.com/errata/RHSA-2026:20947
  4. CVE Modified2026-08-11 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Red Hat OpenShift GitOps 1.19, Red Hat OpenShift GitOps 1.2, Red Hat OpenShift GitOps 1.2 (+8) → Red Hat OpenShift GitOps 1.19, Red Hat OpenShift GitOps 1.20, Red Hat OpenShift GitOps 1.20 (+8)
  5. CVE Modified2026-08-03 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Red Hat OpenShift GitOps 1.19, Red Hat OpenShift GitOps 1.2, Red Hat OpenShift GitOps 1.2 (+8) → Red Hat OpenShift GitOps 1.19, Red Hat OpenShift GitOps 1.2, Red Hat OpenShift GitOps 1.2 (+8)

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • bitnami

    argo-cd3.2.0

  • bitnami

    argo-cd3.3.0

  • bitnami

    golang1.26.0-0

  • goxmldsig_project

    goxmldsig1.6.0

  • grpc

    grpc1.79.3

  • lodash

    lodash4.0.0 – 4.18.0

  • lodash

    lodash-amd4.0.0 – 4.18.0

  • lodash

    lodash-es4.0.0 – 4.18.0

  • lodash

    lodash.template4.0.0 – 4.18.0

Quellen & Referenzen

Verknüpfte CVEs

Verknüpfte Empfehlungen

IDCVE-2026-42880