CVE-2024-53862

Argo Workflows, Kubernetes üzərində paralel tapşırıqları idarə etmək üçün açıq mənbəli konteyner-yerli iş axını mühərrikidir. `--auth-mode=client` istifadə edildikdə, saxta və ya manipulyasiya edilmiş token vasitəsilə GET Workflow son nöqtəsi (`/api/v1/workflows/{namespace}/{name}`) vasitəsilə arxivlənmiş iş axınlarını əldə etmək mümkündür; `--auth-mode=sso` istifadə edildikdə isə, etibarlı tokenlə həmin son nöqtə vasitəsilə bütün arxivlənmiş iş axınlarını əldə etmək olar. Server özü `client` tokenləri üçün heç bir autentifikasiya aparmır. Autentifikasiya və avtorizasiya k8s API serverinə həvalə edilir. Lakin Workflow Archive k8s ilə qarşılıqlı əlaqədə olmadığı üçün, hər hansı etibarlı görünən token, k8s tokeni olmasa belə və ya tokenin Argo üçün heç bir RBAC səlahiyyəti olmasa belə, autentifikasiya olunmuş kimi qəbul edilir. Keçidli k8s authN/authZ çatışmazlığını aradan qaldırmaq üçün Workflow Archive müvafiq metodlar üçün `kubectl auth can-i` yoxlamasının ekvivalentini yerinə yetirir. 3.5.7 və 3.5.8 versiyalarında, GET Workflow son nöqtəsinin arxivlənmiş iş axınlarına yönləndirməsi zamanı autentifikasiya yoxlaması təsadüfən silinib və bu, arxivlənmiş iş axınlarının saxta tokenlə əldə edilməsinə şərait yaradıb. Bu zəiflik 3.6.2 və 3.5.13 versiyalarında düzəldilib.