CVE-2026-54526

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: 0.6%
CWE: CWE-284
KEV Durumu: Hayır

Yayım tarihi: 16 Temmuz 2026

Etkilenen: argoproj argo_workflows

Argo Workflows, Kubernetes üzerinde paralel işleri düzenlemek için kullanılan açık kaynaklı, konteyner yerel bir workflow motorudur. 3.7.15 ve 4.0.6 sürümlerinden önceki sürümlerde, CVE-2026-31892 için allow-list düzeltmesi tamamlanmamıştır çünkü workflow/util/merge.go'daki ValidateUserOverrides ve SanitizeUserWorkflowSpec, yansıma yoluyla yalnızca WorkflowSpec'in üst düzey alanlarını dolaşır ve WorkflowSpec.ArtifactGC alanının tümü allow-listed edilir; bu alanın arkasındaki struct, WorkflowLevelArtifactGC, içeriği util.ApplyPodSpecPatch'e artifact-GC pod'u üzerinde değişikliğe uğramadan akan bir PodSpecPatch alt alanına sahiptir, bu da orijinal düzeltmenin WorkflowSpec.PodSpecPatch için kapattığı aynı havuza neden olur, böylece bir kullanıcı, Strict veya Secure (bir référenced WorkflowTemplate tarafından bildirilen bir çıktı artifact'ı ve spec.artifactGC.strategy: OnWorkflowCompletion ayarlayarak) altında bir Workflow göndererek, artifact-GC pod'una keyfi bir stratejik merge patch enjekte edebilir, bu da hostPath hacimlerini, privileged: true, keyfi görüntü ve komut ile hostNetwork: true içerir ve bu da Strict/Secure référence modunun belirtilen amacını bozar. Bu sorun, 3.7.15 ve 4.0.6 sürümlerinde giderilmiştir.

Orijinal açıklama (İngilizce)

Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Prior to 3.7.15 and 4.0.6, the allow-list fix for CVE-2026-31892 is incomplete because workflow/util/merge.go ValidateUserOverrides and SanitizeUserWorkflowSpec walk only the top-level fields of WorkflowSpec via reflection, and WorkflowSpec.ArtifactGC is allow-listed wholesale; the struct behind that field, WorkflowLevelArtifactGC, has a PodSpecPatch sub-field whose contents flow unmodified into util.ApplyPodSpecPatch on the artifact-GC pod, the same sink the original fix closed for WorkflowSpec.PodSpecPatch, so a user submitting a Workflow under templateReferencing: Strict or Secure (against a referenced WorkflowTemplate that declares an output artifact and setting spec.artifactGC.strategy: OnWorkflowCompletion) can still inject an arbitrary strategic merge patch into the artifact-GC pod, including hostPath volumes, privileged: true, arbitrary image and command, and hostNetwork: true, defeating the stated purpose of Strict/Secure reference mode. This issue is fixed in versions 3.7.15 and 4.0.6.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.