CVE-2025-62156

Nome do Software Vulnerável e Versões Afetadas Versões do Argo Workflows anteriores à 3.6.12 Versões do Argo Workflows de 3.7.0 a 3.7.2

Descrição O Argo Workflows, um mecanismo de fluxo de trabalho nativo para contêineres no Kubernetes, contém uma vulnerabilidade de path traversal Zip Slip durante a extração de artefatos. A lógica de desempacotamento/extração tar em workflow/executor/executor.go utiliza filepath.Join(dest, filepath.Clean(header.Name)) sem validar se header.Name permanece dentro do diretório de extração pretendido. Uma entrada maliciosa no arquivo compactado pode fornecer um caminho de travessia ou absoluto que, após a limpeza, ignora o diretório de destino, permitindo que arquivos sejam gravados fora do local esperado e potencialmente em diretórios do sistema, como /etc, dentro do contêiner. Isso permite a criação ou sobrescrita arbitrária de arquivos em locais de configuração do sistema, podendo levar à escalonação de privilégios ou persistência. A vulnerabilidade afeta a extração de arquivos compactados (arquivos ZIP ou tar). O componente vulnerável é o processo de extração de artefatos.

Recomendações Atualize para o Argo Workflows versão 3.6.12 ou 3.7.3.