CVE-2024-53862 in argo-workflows
요약
\~에 의해 VulDB • 2026. 06. 14.
Argo Workflows는 Kubernetes에서 병렬 작업을 오케스트레이션하기 위한 오픈 소스 컨테이너 네이티브 워크플로우 엔진입니다. `--auth-mode=client`를 사용할 때, 위조되거나 스푸핑된 토큰을 사용하여 `/api/v1/workflows/{namespace}/{name}` GET 워크플로우 엔드포인트를 통해 아카이브된 워크플로우를 검색할 수 있습니다. 또는 `--auth-mode=sso`를 사용할 때, 유효한 토큰을 사용하여 모든 아카이브된 워크플로우를 `/api/v1/workflows/{namespace}/{name}` GET 워크플로우 엔드포인트를 통해 검색할 수 있습니다. 서버 자체는 `client` 토큰에 대해 인증을 수행하지 않습니다. 인증 및 권한 부여는 대신 k8s API 서버에 위임됩니다. 그러나 워크플로우 아카이브는 k8s와 상호 작용하지 않으므로, k8s 토큰이 아니거나 Argo에 대한 RBAC 권한이 없는 토큰이라도 유효해 보이는 모든 토큰이 인증된 것으로 간주됩니다. k8s 인증/인가(Pass-through authN/authZ) 부재를 처리하기 위해 워크플로우 아카이브는 각 메서드에 대해 `kubectl auth can-i` 확인의 동등한 작업을 수행합니다. 3.5.7 및 3.5.8 버전에서는 아카이브된 워크플로우로 폴백되는 GET 워크플로우 엔드포인트의 해당 라인에서 인증 확인이 실수로 제거되어, 위조된 토큰을 사용하여 아카이브된 워크플로우를 검색할 수 있게 되었습니다. 이 취약점은 3.6.2 및 3.5.13에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.