CVE-2025-62156
Açıklama
Argo Workflows, Kubernetes üzerinde paralel işleri yönetmek için kullanılan açık kaynaklı ve konteyner tabanlı bir iş akışı motorudur. 3.6.12 öncesindeki sürümler ile 3.7.0 ve 3.7.2 arasındaki sürümler, artefakt çıkarma işleminde bir Zip Slip yol aşımı (path traversal) zafiyeti içermektedir. Artefakt çıkarma sırasında açma/untar mantığı (workflow/executor/executor.go), header.Name değerinin hedeflenen çıkarma dizini içinde kaldığını doğrulamadan filepath.Join(dest, filepath.Clean(header.Name)) fonksiyonunu kullanmaktadır. Kötü niyetli bir arşiv girişi, temizleme işleminden sonra hedef dizini geçersiz kılan bir aşım veya mutlak yol sağlayarak dosyaların /work/tmp çıkarma yolu dışına ve konteyner içindeki /etc gibi sistem dizinlerine yazılmasına neden olabilir. Bu zafiyet, sistem yapılandırma konumlarında (örneğin /etc/passwd, /etc/hosts, /etc/crontab) rastgele dosya oluşturulmasına veya üzerine yazılmasına olanak tanır; bu durum etkilenen konteyner içerisinde yetki yükseltmeye veya kalıcılığa yol açabilir. Sorunu gidermek için 3.6.12 veya 3.7.3 sürümüne güncelleyin.
Nasıl düzeltilir
- argoproj argo_workflows3.6.12, 3.7.3 ya da sonraki bir sürüm
- github.com/argoproj/argo-workflows/v33.6.12, 3.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_workflows | v < 3.6.12, 3.7.0 ≤ v < 3.7.3 | 3.6.12, 3.7.3 |
| github.com/argoproj/argo-workflows/v3Go | v < 3.6.12, 3.7.0 ≤ v < 3.7.3 | 3.6.12, 3.7.3 |
| github.com/argoproj/argo-workflowsGo | Aralık belirtilmemiş | — |
| github.com/argoproj/argo-workflows/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.