CVE-2024-53862 in argo-workflows
Sumário
de VulDB • 02/07/2026
O Argo Workflows é um mecanismo de fluxo de trabalho nativo para contêineres e open source, utilizado para orquestrar trabalhos paralelos no Kubernetes. Ao utilizar `--auth-mode=client`, os Fluxos de Trabalho arquivados podem ser recuperados com um token falso ou spoofado por meio do endpoint GET Workflow: `/api/v1/workflows/{namespace}/{name}`; quando se utiliza `--auth-mode=sso`, todos os Fluxos de Trabalho arquivados podem ser recuperados com um token válido via o mesmo endpoint. O servidor não realiza autenticação própria nos tokens `client`. A autenticação e autorização são delegadas ao k8s API server. No entanto, como a Workflow Archive não interage com o Kubernetes (k8s), qualquer token que pareça válido será considerado autenticado, mesmo que não seja um token do k8s ou que não possua RBAC para Argo. Para contornar a falta de autenticação e autorização pass-through do k8s (authN/authZ), a Workflow Archive executa especificamente uma verificação equivalente à `kubectl auth can-i` para os respectivos métodos. Nas versões 3.5.7 e 3.5.8, essa verificação de autenticação foi acidentalmente removida no fallback do endpoint GET Workflow para fluxos de trabalho arquivados nessas linhas, permitindo que fluxos de trabalho arquivados fossem recuperados com um token falso. Esta vulnerabilidade está corrigida nas versões 3.6.2 e 3.5.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.