Argo CD Image Updater（Red Hat OpenShift GitOps 同梱）に SSH プロキシ URL 経由の OS コマンド注入（CVE-2026-121621）: CVSS v3.1 8.8、要低権限、悪用の有無は未確認

Argo CD Image Updater の SSH 接続の Git リポジトリで、プロキシ URL がそのままシェル解釈される SSH コマンドに渡される問題として、CVE-2026-121621 が 2026-11-03 に NVD に登録されました。登録元は Red Hat（secalert@redhat.com）です。

何が起きるか

• NVD の記載によると、SSH の Git リポジトリに設定したプロキシ URL が、無害化されないままシェルで解釈される SSH コマンドに渡されます。
• 悪意あるプロキシ値を設定できる攻撃者は、シェルのメタ文字を差し込んで任意のコマンドを実行でき、Image Updater プロセスの権限で認証情報にもアクセスできるとされています。
• 弱点の分類は CWE-78（OS コマンド・インジェクション）です。
• 影響製品として NVD が挙げているのは Red Hat OpenShift GitOps のパッケージ openshift-gitops-1/argocd-image-updater-rhel9 です。同じ OpenShift GitOps の gitops-rhel9-operator は「影響なし」とされています。上流の Argo CD Image Updater 本体の影響版は、本稿では確認できていません。

数値と severity

• CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です（評価元は Red Hat）。ネットワークから、低い権限で、利用者の操作なしに、機密性・完全性・可用性すべてへの影響が高いと評価されています。
• 認証不要ではなく低権限が必要（PR:L）なため、severity は high とします。
• NVD の状態は「Awaiting Analysis」で、NVD 自身の評価はまだありません。
• FIRST の EPSS は本稿では未取得、CISA の KEV には載っていません。

対策

• OpenShift GitOps の argocd-image-updater を使っている場合は、Red Hat の CVE ページ（access.redhat.com/security/cve/CVE-2026-121621）で修正版の有無を確認し、提供されたら更新する。
• 修正版が出るまでは、Image Updater が扱う Git リポジトリ設定（特に SSH とプロキシの項目）を変更できる利用者を絞り、不審なプロキシ値が入っていないか確認する。
• NVD の参照先に上流の修正プルリクエスト（argocd-image-updater #1905）があります。上流の版を使っている場合はこの修正の取り込み状況を確認する。

未確認の点

• 修正版の番号と提供状況、回避策の有無。
• 上流 Argo CD Image Updater 本体の影響範囲（版）。
• 「プロキシ値を設定できる」ために必要な権限の実際の範囲。
• 実際に悪用されているか、攻撃コードが出回っているか。
• NVD の最終評価と EPSS。Red Hat の勧告、Bugzilla、上流のプルリクエストは、本稿では内容を開けていません。

出典

• NVD: CVE-2026-121621
• Red Hat: CVE-2026-121621（NVD の参照先。未開封）
• Red Hat Bugzilla 2565914、上流プルリクエスト argocd-image-updater #1905（NVD の参照先。未開封）
• CISA KEV（掲載なし）