PT-2025-41937
CVE-2025-62156
·
تاريخ النشر
2025-10-14
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo Workflows الأقدم من 3.6.12
إصدارات Argo Workflows من 3.7.0 إلى 3.7.2
الوصف
يحتوي Argo Workflows، وهو آلية سير عمل أصلية للحاويات في Kubernetes، على ثغرة أمنية من نوع ”Zip Slip“ تتعلق باجتياز المسار أثناء استخراج المكونات. تستخدم منطقية فك ضغط/استخراج ملفات tar في
workflow/executor/executor.go الدالة filepath.Join(dest, filepath.Clean(header.Name)) دون التحقق مما إذا كان header.Name يقع ضمن دليل الاستخراج المقصود. يمكن أن توفر إدخالات ضارة في الملف المضغوط مسارًا متجاوزًا أو مسارًا مطلقًا، والذي يتجاوز، بعد التنظيف، الدليل الهدف، مما يسمح بكتابة الملفات خارج الموقع المتوقع وربما في أدلة النظام، مثل /etc، داخل الحاوية. وهذا يسمح بإنشاء أو الكتابة فوق الملفات بشكل تعسفي في مواقع تكوين النظام، مما قد يؤدي إلى تصعيد الامتيازات أو الاستمرارية. تؤثر هذه الثغرة الأمنية على عملية استخراج الملفات المضغوطة (ملفات ZIP أو tar). المكون المعرض للخطر هو عملية استخراج المكونات.التوصيات
قم بالتحديث إلى إصدار Argo Workflows 3.6.12 أو 3.7.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾