CVE-2026-6388: ArgoCD Image Updater: escalonamento de privilégios entre namespaces via recurso ImageUpdater
Uma falha no ArgoCD Image Updater permite que um usuário com permissão para criar ou modificar um recurso ImageUpdater ultrapasse limites de namespace em ambientes multi-tenant. Segundo o registro, isso possibilita atualizações de imagem não autorizadas em aplicações de outros tenants, com escalonamento de privilégios entre namespaces. O CNA classifica como crítica (CVSS 3.1, pontuação 9.1), mas o registro não informa versão corrigida e nas fontes consultadas não há exploração confirmada.
Visão geral
Uma falha no ArgoCD Image Updater, identificada como CVE-2026-6388, permite que um usuário que pode criar ou modificar um recurso ImageUpdater atue fora do próprio namespace em um cluster multi-tenant. O registro atribui o problema a validação insuficiente e associa a fraqueza CWE-1220.
Impacto
- Atualizações de imagem não autorizadas em aplicações gerenciadas por outros tenants.
- Escalonamento de privilégios entre namespaces.
- Redução da integridade das aplicações por meio de atualizações não autorizadas.
O CNA classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.1 e vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:L. Lido de forma direta, o vetor descreve ataque acessível pela rede, que exige poucos privilégios e nenhuma interação do usuário, com mudança de escopo e alto impacto na integridade.
Produtos e versões afetadas
O registro não lista versões afetadas. Consulte a página de CVE da Red Hat e a entrada no Bugzilla da Red Hat para delimitar o escopo informado pelo fornecedor antes de concluir sobre a exposição.
Status de exploração
O registro não indica que esta CVE esteja no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS é 0,00408, com percentil de 0,33222.
Correção e mitigação
- Verifique no aviso do fornecedor se há uma versão corrigida do ArgoCD Image Updater, pois nenhuma é informada neste registro.
- Enquanto a correção não for confirmada, revise quem possui permissão para criar ou modificar recursos ImageUpdater e remova acessos desnecessários.
- Em clusters multi-tenant, revise o isolamento entre namespaces e os vínculos de papéis que possam permitir que um tenant afete aplicações de outro.
- Restrinja o escopo das atualizações automáticas de imagem sempre que isso for operacionalmente viável.
Orientação para detecção
- Audite eventos de criação e modificação de recursos ImageUpdater, em especial os que referenciam namespaces fora do tenant solicitante.
- Monitore aplicações de produção em busca de mudanças de imagem inesperadas e correlacione-as com registros de mudança aprovados.
- Gere alertas para alterações em vínculos de papéis que concedam escrita sobre recursos ImageUpdater.
Limitações das informações disponíveis
O registro não inclui versões afetadas, versões corrigidas, nome da CWE nem caminho de correção do fornecedor. Os dados de CVSS vêm do CNA, e o status da fonte no registro é Awaiting Analysis. A explorabilidade além do que a descrição afirma não está estabelecida.
Perguntas frequentes
A CVE-2026-6388 está sendo explorada ativamente?
O registro não a lista no KEV da CISA, e nas fontes consultadas não há exploração confirmada. Continue acompanhando os avisos do fornecedor.
Quais versões são afetadas?
O registro não informa versões afetadas nem corrigidas. Consulte a página de CVE da Red Hat para atualizações do fornecedor.
Quem deve se preocupar mais?
Com base na descrição, ambientes multi-tenant nos quais usuários podem criar ou modificar recursos ImageUpdater são a principal preocupação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.