CVE-2024-53862 in argo-workflows
الملخص
بحسب VulDB • 28/07/2026
تُعد Argo Workflows محرك سير عمل مفتوح المصدر، أصلي للحاويات (container-native)، مخصص لتنسيق المهام المتوازية على Kubernetes. عند استخدام المعلمة `--auth-mode=client`، يمكن استرجاع سجلات السير العمل المؤرشفة باستخدام رمز مزيف أو مُزيّف عبر نقطة نهاية GET الخاصة بالسير عمل: `/api/v1/workflows/{namespace}/{name}`؛ وعند استخدام `--auth-mode=sso`، يمكن استرجاع جميع السجلات المؤرشفة برمز صالح عبر نفس نقطة النهاية. لا تقوم الخادم بإجراء أي مصادقة على الرموز من نوع `client`. بدلاً من ذلك، تُفوض المصادقة والتفويض إلى خادم واجهة برمجة تطبيقات Kubernetes (k8s API server). ومع ذلك، فإن أرشيف سير العمل لا يتفاعل مع k8s، وبالتالي سيتم اعتبار أي رمز يبدو صالحاً كمُصَدَّق عليه، حتى لو لم يكن رمزاَ خاصا بـ k8s أو إذا كان يفتقر إلى صلاحيات التحكم في الوصول القائمة على الأدوار (RBAC) لـ Argo. للتعامل مع نقص آلية تمرير مصادقة وتفويض k8s، يقوم أرشيف سير العمل بشكل محدد بإجراء فحص مكافئ لفحص `kubectl auth can-i` للطرق ذات الصلة. في الإصدارين 3.5.7 و 3.5.8، تم إزالة فحص المصادقة عن طريق الخطأ عند التراجع إلى السجلات المؤرشفة في نقطة نهاية GET الخاصة بالسير عمل على الأسطر المذكورة، مما سمح باسترجاع السير العمل المؤرشفة باستخدام رمز مزيف. تمت معالجة هذا الثغرة الأمنية في الإصدارين 3.6.2 و 3.5.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.