CVE-2026-82277: Kritisk hul i Argo Rollouts dashboard
Argo Rollouts’ dashboard tillader styring af udrulninger i Kubernetes uden login. Opdatér til nyeste version eller luk dashboardet ned nu.
Hvad er det?
Argo Rollouts er et værktøj til Kubernetes, der styrer gradvise udrulninger af nye versioner af software, såkaldte rollouts, hvor trafik gradvist flyttes til en ny version. Sårbarheden (CVE-2026-82277) ligger i det tilhørende webdashboard, som i version 1.10.0 og tidligere binder sig til alle netværksinterfaces og eksponerer funktioner, der ændrer driften, uden krav om login, adgangskontrol eller beskyttelse mod CSRF-angreb, hvor en ondsindet hjemmeside får en brugers browser til at udføre uønskede handlinger. Enhver med netværksadgang til dashboardet kan derfor sætte udrulninger i gang, stoppe dem, rulle dem tilbage eller skifte det image, altså den container, der køres, i alle namespaces, som operatørens kubeconfig har adgang til.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører Kubernetes-klynger med Argo Rollouts installeret, og som har aktiveret dashboardet, i version 1.10.0 eller tidligere. Det gælder typisk IT-afdelinger og udviklingsteams, der bruger Argo Rollouts til at styre canary- eller blue-green-udrulninger af egne applikationer, samt eksterne driftsleverandører, der administrerer Kubernetes-klynger for danske kunder.
Hvad kan ske?
En angriber med adgang til det samme netværk som dashboardet kan uden at logge ind stoppe eller rulle produktionsudrulninger tilbage, genstarte kørende komponenter eller ændre hvilket container-image der køres, i alle namespaces operatøren har adgang til. I praksis kan det betyde nedbrud af forretningskritiske systemer, eller at en angriber får sat et ondsindet image i drift, hvilket åbner for videre kompromittering af hele klyngen.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver hverken login, rettigheder eller at en bruger klikker på noget: det kan udføres over netværket af enhver, der kan nå dashboardets port. Der er ingen oplysninger om aktiv udnyttelse på offentliggørelsestidspunktet, men den lave kompleksitet og fraværet af autentifikation gør sårbarheden let at udnytte, så snart den er kendt.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér Argo Rollouts til en version nyere end 1.10.0, hvor dashboardet kræver godkendelse, eller følg projektets seneste sikkerhedsvejledning.
- Kan I ikke opdatere med det samme, så luk dashboardet ned eller bind det kun til localhost, altså maskinens eget interface, i stedet for alle netværksinterfaces.
- Placér dashboardet bag en adgangsstyret proxy eller VPN, så kun godkendte medarbejdere kan nå det.
- Gennemgå logs for uventede rollout-handlinger som PromoteRollout, AbortRollout eller SetRolloutImage i perioden op til opdateringen.
- Begræns kubeconfig-rettighederne for operatøren, så et kompromitteret dashboard ikke automatisk giver adgang til alle namespaces.
- Er I i tvivl om, hvorvidt jeres klynge har været eksponeret, eller mangler I ressourcer til at gennemgå logs selv, så kontakt en sikkerhedsleverandør til en vurdering.
Opdatér inden for få dage
Vi anbefaler at opdatere Argo Rollouts til en sikret version og i mellemtiden lukke dashboardet for adgang udefra, da manglende login gør sårbarheden let at udnytte for enhver med netværksadgang. Det er kun forsvarligt at vente, hvis dashboardet allerede er isoleret bag en adgangsstyret proxy eller kun tilgængeligt fra et internt administrationsnetværk uden bredere adgang.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejdermaskine udløser produktionsstop
En dansk softwarevirksomhed kører sine mikrotjenester i en Kubernetes-klynge med Argo Rollouts og har dashboardet tilgængeligt på det interne netværk uden login. En medarbejders bærbare bliver ramt af malware, der scanner netværket og finder dashboardet. Malwaren udløser en AbortRollout-handling på en igangværende udrulning, hvilket stopper opdateringen midt i og efterlader produktionsmiljøet i en ustabil tilstand, indtil driftsteamet opdager fejlen og retter op manuelt.
Ofte stillede spørgsmål
Er vi ramt, hvis vi bruger Argo Rollouts uden at have aktiveret dashboardet?
Nej. Sårbarheden ligger specifikt i webdashboardet. Bruger I kun kommandolinjeværktøjet kubectl-plugin uden det tilhørende dashboard, er I ikke direkte berørt af denne konkrete sårbarhed.
Hvordan tjekker vi, om vores dashboard er eksponeret?
Undersøg, hvilken netværksadresse dashboardets service er bundet til, og om porten er nået fra andre netværk end det, kubeconfig-operatøren kører på. Er den bundet til alle interfaces (0.0.0.0) og tilgængelig fra det almindelige kontornetværk eller internettet, er den eksponeret.
Kan vi vente til weekenden med at opdatere?
Kun hvis dashboardet allerede er isoleret bag en adgangsstyret proxy eller ikke er tilgængeligt fra andre netværk end et snævert administrationsnetværk. Er dashboardet frit tilgængeligt på jeres interne netværk, bør I lukke adgangen eller opdatere før weekenden.
Skal vi anmelde episoden, hvis vi finder tegn på misbrug?
Finder I tegn på, at nogen har udnyttet sårbarheden til at ændre produktionsudrulninger eller indsætte fremmede images, bør I behandle det som en sikkerhedshændelse og vurdere anmeldelsespligt efter reglerne om databeskyttelse eller NIS2, afhængigt af hvilke data og systemer der er berørt.
Påvirker sårbarheden også vores kubectl-plugin til Argo Rollouts?
Nej, problemet vedrører kun webdashboardet og dets manglende adgangskontrol. Selve kubectl-plugin’et bruger den adgang, brugeren allerede har via sin egen kubeconfig, og er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Argo Rollouts dashboard through 1.10.0 binds to all interfaces and exposes mutating Rollout operations without authentication, authorization, or CSRF protection. Attackers on the same network can invoke PromoteRollout, AbortRollout, RestartRollout, SetRolloutImage, UndoRollout, and RetryRollout operations across all namespaces accessible to the operator’s kubeconfig.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.