CVE-2024-53862 in argo-workflows
Zusammenfassung
von VulDB • 25.07.2026
Argo Workflows ist eine Open-Source-Container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. Bei Verwendung von `--auth-mode=client` können archivierte Workflows mit einem gefälschten oder gespooften Token über den GET-Workflow-Endpunkt `/api/v1/workflows/{namespace}/{name}` abgerufen werden; bei Verwendung von `--auth-mode=sso` können alle archivierten Workflows mit einem gültigen Token über denselben Endpunkt abgerufen werden. Der Server selbst führt keine Authentifizierung für `client`-Tokens durch. Die Authentifizierung und Autorisierung wird stattdessen an den k8s-API-Server delegiert. Das Workflow-Archiv interagiert jedoch nicht mit Kubernetes, sodass jedes Token, das gültig aussieht, als authentifiziert betrachtet wird – selbst wenn es kein k8s-Token ist oder keine RBAC-Berechtigungen für Argo besitzt. Um das Fehlen der Weiterleitung von k8s-AuthN/AuthZ zu kompensieren, führt das Workflow-Archiv spezifisch eine äquivalente Prüfung wie `kubectl auth can-i` für die jeweiligen Methoden durch. In den Versionen 3.5.7 und 3.5.8 wurde diese Authentifizierungsprüfung versehentlich bei der Fallback-Funktion des GET-Workflow-Endpunkts auf archivierte Workflows in diesen Codezeilen entfernt, wodurch es ermöglicht wurde, archivierten Workflows mit einem gefälschten Token abgerufen werden konnten. Diese Schwachstelle ist in den Versionen 3.6.2 und 3.5.13 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.