CVE-2026-42294
Açıklama
Argo Workflows, Kubernetes üzerinde paralel işleri yönetmek için kullanılan açık kaynaklı ve konteyner tabanlı bir iş akışı motorudur. 3.7.14 ve 4.0.5 versiyonlarından önce, Webhook Interceptor, isteği kimlik doğrulamadan veya imzasını doğrulamadan önce tüm istek gövdesini belleğe yüklemektedir. Bu durum, herkese açık olan (web kancaları için tasarlanmış olsa da) /api/v1/events/ uç noktasında meydana gelmektedir. Bir saldırgan, aşırı büyük bir gövdeye sahip (örneğin, birkaç gigabayt) bir istek göndererek Argo Server'ın aşırı bellek ayırmasına neden olabilir; bu da potansiyel olarak Bellek Yetersizliği (Out-Of-Memory - OOM) çökmesine ve hizmet reddine yol açabilir. Bu sorun 3.7.14 ve 4.0.5 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- argoproj argo_workflows3.7.14, 4.0.5 ya da sonraki bir sürüm
- github.com/argoproj/argo-workflows/v33.7.14 ya da sonraki bir sürüm
- github.com/argoproj/argo-workflows/v44.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| argoproj argo_workflows | v < 3.7.14, 4.0.0 ≤ v < 4.0.5 | 3.7.14, 4.0.5 |
| github.com/argoproj/argo-workflows/v3Go | v < 3.7.14 | 3.7.14 |
| github.com/argoproj/argo-workflows/v4Go | 4.0.0 ≤ v < 4.0.5 | 4.0.5 |
| github.com/argoproj/argo-workflowsGo | Aralık belirtilmemiş | — |
| github.com/argoproj/argo-workflows/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.