CVE-2026-31892

إصدارات Argo Workflows من 2.9.0 إلى 4.0.1

إصدار Argo Workflows 3.7.11

Argo Workflows هو محرك سير عمل أصلي للحاويات مخصص لـ Kubernetes. يمكن للمستخدم القادر على إرسال سير العمل تجاوز الإعدادات الأمنية المحددة في WorkflowTemplate عن طريق تضمين حقل podSpecPatch في عملية إرسال سير العمل. يحدث هذا التجاوز حتى عندما يتم تكوين وحدة التحكم باستخدام templateReferencing: Strict، والذي يهدف إلى تقييد المستخدمين على القوالب المعتمدة من قبل المسؤول. يُعطى الحقل podSpecPatch الأولوية أثناء دمج المواصفات ويتم تطبيقه على مواصفات البود دون التحقق من صحة الإعدادات الأمنية. وعلى وجه التحديد، يكون ترتيب أولوية الدمج كما يلي: مواصفات سير العمل > مواصفات WorkflowTemplate > مواصفات WorkflowDefault. لا تقوم الدالة ApplyPodSpecPatch() إلا بالتحقق من صحة بناء جملة JSON للتصحيح، دون التحقق من وجود إعدادات أمنية خطيرة. وهذا يسمح للمهاجمين بتجاوز إعدادات الأمان مثل تشغيل الحاويات كجذر (root)، وتمكين الوضع المتميز (privileged mode)، وتركيب نظام ملفات المضيف، وإضافة جميع إمكانيات Linux. ويمكن أن يمنح الاستغلال المستخدم وصولاً كاملاً كجذر (root) إلى عقدة Kubernetes الأساسية.

يجب تحديث إصدارات Argo Workflows الأقدم من 4.0.2.

يجب تثبيت إصدار Argo Workflows 3.7.11.