CVE-2025-66626
Təsvir
Argo Workflows, Kubernetes üzərində paralel tapşırıqların orkestrasiyası üçün açıq mənbəli konteyner-native iş axını mühərrikidir. Versiya 3.6.13 və daha aşağı versiyalar, həmçinin 3.7.0-dan 3.7.4-ə qədər olan versiyalar arxivlərdəki simvolik keçidləri (symbolic links) emal edən təhlükəsiz olmayan untar kodu ehtiva edir. Konkret olaraq, keçidin hədəfinin hesablanması və sonrakı yoxlama prosesi qüsurludur. Hücumçu /var/run/argo/argoexec faylını öz seçdiyi skriptlə əvəz edə bilər ki, bu da pod-un başladılması zamanı icra olunacaqdır. CVE-2025-62156 üçün tətbiq edilən yamama simvolik keçidlər ehtiva edən zərərli arxivlərə qarşı effektiv deyil. Bu problem 3.6.14 və 3.7.5 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- argoproj argo_workflows3.6.14, 3.7.5 və ya daha yeni versiya
- github.com/argoproj/argo-workflows/v33.7.5, 3.6.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| argoproj argo_workflows | v < 3.6.14, 3.7.0 ≤ v < 3.7.5 | 3.6.14, 3.7.5 |
| github.com/argoproj/argo-workflows/v3Go | 3.7.0 ≤ v < 3.7.5, v < 3.6.14 | 3.7.5, 3.6.14 |
| github.com/argoproj/argo-workflowsGo | v ≤ 2.5.3-rc4, Aralıq göstərilməyib | — |
| github.com/argoproj/argo-workflows/v2Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.