CVE-2024-53862

Argo Workflows, Kubernetes üzerinde paralel işleri yönetmek için kullanılan açık kaynaklı ve konteyner tabanlı bir iş akışı motorudur. `--auth-mode=client` kullanıldığında, Arşivlenmiş İş Akışları (Archived Workflows), `/api/v1/workflows/{namespace}/{name}` GET Workflow uç noktası aracılığıyla sahte veya taklit edilmiş bir token ile alınabilir; `--auth-mode=sso` kullanıldığında ise tüm Arşivlenmiş İş Akışları, geçerli bir token ile aynı uç nokta üzerinden alınabilir. Sunucu tarafından `client` token'ları üzerinde herhangi bir kimlik doğrulama işlemi gerçekleştirilmez. Kimlik doğrulama ve yetkilendirme işlemleri bunun yerine k8s API sunucusuna devredilir. Ancak, Workflow Archive k8s ile etkileşime girmediğinden, geçerli görünen herhangi bir token, bir k8s token'ı olmasa veya Argo için hiçbir RBAC yetkisine sahip olmasa bile kimliği doğrulanmış olarak kabul edilir. Geçişli k8s authN/authZ eksikliğini gidermek için Workflow Archive, ilgili yöntemler için `kubectl auth can-i` kontrolünün eşdeğerini özel olarak yürütür. 3.5.7 ve 3.5.8 sürümlerinde, GET Workflow uç noktasının arşivlenmiş iş akışlarına geri dönüş yaptığı satırlarda kimlik doğrulama kontrolü yanlışlıkla kaldırılmış ve bu durum arşivlenmiş iş akışlarının sahte bir token ile alınmasına olanak tanımıştır. Bu güvenlik açığı 3.6.2 ve 3.5.13 sürümlerinde giderilmiştir.