CVE-2026-40886
Açıklama
Argo Workflows, Kubernetes üzerinde paralel işleri yönetmek için kullanılan açık kaynaklı ve konteyner tabanlı bir iş akışı motorudur. 3.6.5 ile 4.0.4 sürümleri arasında, pod informer'ın podGCFromPod() fonksiyonundaki kontrol edilmemiş bir dizi indeksi, bir iş akışı podu hatalı biçimlendirilmiş bir workflows.argoproj.io/pod-gc-strategy anotasyonu taşıdığında denetleyici genelinde bir paniğe (panic) neden olur. Panik, bir informer goroutine'i içinde (denetleyicinin recover() kapsamının dışında) meydana geldiği için tüm denetleyici sürecini çökertir. Zehirli pod yeniden başlatmalar boyunca kalıcı olduğundan, pod manuel olarak silinene kadar tüm iş akışı işlemelerini durduran bir çökme döngüsüne (crash loop) yol açar. Bu güvenlik açığı 4.0.5 ve 3.7.14 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- argoproj argo_workflows3.7.14, 4.0.5 ya da sonraki bir sürüm
- github.com/argoproj/argo-workflows/v44.0.5 ya da sonraki bir sürüm
- github.com/argoproj/argo-workflows/v33.7.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_workflows | 3.6.5 ≤ v ≤ 3.6.19, 3.7.0 ≤ v < 3.7.14, 4.0.0 ≤ v < 4.0.5 | 3.7.14, 4.0.5 |
| github.com/argoproj/argo-workflows/v4Go | 4.0.0 ≤ v < 4.0.5 | 4.0.5 |
| github.com/argoproj/argo-workflows/v3Go | 3.7.0 ≤ v < 3.7.14, 3.6.5 ≤ v ≤ 3.6.19, 3.6.5 ≤ v | 3.7.14 |
| github.com/argoproj/argo-workflowsGo | Aralık belirtilmemiş | — |
| github.com/argoproj/argo-workflows/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.