CVE-2026-40886
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w Argo Workflows od wersji 3.6.5 do 4.0.4 powoduje panikę kontrolera z powodu niesprawdzonego indeksu tablicy w funkcji podGCFromPod() informera podów. Złośliwa adnotacja workflows.argoproj.io/pod-gc-strategy w zasobniku workflow prowadzi do awarii całego procesu kontrolera, a po restarcie podtrzymuje pętlę awarii, blokując przetwarzanie wszystkich workflowów.
Ocena ryzyka
Ryzyko polega na całkowitym zatrzymaniu przetwarzania workflowów w klastrze Kubernetes, co może prowadzić do przerw w działaniu aplikacji i usług zależnych od Argo Workflows. Atakujący może celowo umieścić uszkodzony zasobnik, powodując ciągłe awarie kontrolera.
Rekomendacja
Należy natychmiast zaktualizować Argo Workflows do wersji 4.0.5 lub 3.7.14, które zawierają poprawkę. W międzyczasie, jeśli to możliwe, ręcznie usuń podejrzane zasobniki z adnotacją workflows.argoproj.io/pod-gc-strategy.
Inne podatności w Argo Workflows
Zobacz wszystkie- CVE-2026-54526Krytyczne
Podatność w Argo Workflows przed wersjami 3.7.15 i 4.0.6 umożliwia ominięcie mechanizmu allow-list dla CVE-2026-31892. Poprzez pole ArtifactGC w WorkflowSpec użytkownik może wstrzyknąć dowolną łatkę strategicznego scalania do podu artifact-GC, w tym niebezpieczne ustawienia jak hostPath, uprzywilejowany tryb czy hostNetwork.
- CVE-2026-28229Krytyczne
Argo Workflows przed wersjami 4.0.2 i 3.7.11 zawiera podatność, która umożliwia nieautoryzowanym klientom pobieranie szablonów przepływów pracy (WorkflowTemplates i ClusterWorkflowTemplates) poprzez wysłanie żądania z dowolnym tokenem w nagłówku Authorization. Może to prowadzić do ujawnienia poufnych danych, w tym osadzonych manifestów Secret.
- CVE-2026-42297Wysokie
Argo Workflows w wersjach od 4.0.0 do przed 4.0.5 zawiera podatność w Sync Service, gdzie dostawca oparty na ConfigMap (server/sync/sync_cm.go) nie przeprowadza żadnych kontroli autoryzacji dla operacji CRUD. Każdy uwierzytelniony użytkownik, w tym używający fałszywych tokenów Bearer, może tworzyć, odczytywać, aktualizować i usuwać ConfigMapy Kubernetes zawierające limity synchronizacji.
- CVE-2026-42296Wysokie
Argo Workflows przed wersjami 3.7.14 i 4.0.5 umożliwia użytkownikowi z uprawnieniami do tworzenia Workflow ominięcie trybu Strict templateReferencing. Pozwala to na uzyskanie dostępu do sieci hosta, zmianę konta serwisowego, nadpisanie kontekstu bezpieczeństwa poda, dodanie toleracji do planowania na węzłach kontrolnych lub włączenie montowania tokena SA.
- CVE-2026-42295Średnie
Argo Workflows w wersjach od 4.0.0 do przed 4.0.5 rejestruje w postaci jawnego tekstu wszystkie poświadczenia repozytoriów artefaktów (klucze dostępu S3, klucze tajne, klucze konta usługi GCS, klucze konta Azure, hasła Git itp.) podczas operacji na artefaktach. Każdy użytkownik mający dostęp do odczytu logów podów workflow może wyodrębnić te poświadczenia. Problem został naprawiony w wersji 4.0.5.
- CVE-2026-42294Wysokie
Argo Workflows przed wersjami 3.7.14 i 4.0.5 ładuje całe ciało żądania do pamięci przed uwierzytelnieniem lub weryfikacją podpisu na publicznie dostępnym endpointcie /api/v1/events/. Atakujący może wysłać bardzo duże żądanie, powodując nadmierne zużycie pamięci i awarię OOM.
- CVE-2026-42183Średnie
Argo Workflows w wersjach od 4.0.0 do 4.0.5 ma podatność na dereferencję wskaźnika null w funkcji rbacAuthorization() w pliku server/auth/gatekeeper.go. Powoduje to panikę (odmowę usługi) dla użytkowników SSO, których dane pasują do reguły RBAC na poziomie przestrzeni nazw, ale nie do reguły SSO-namespace, gdy włączona jest opcja SSO_DELEGATE_RBAC_TO_NAMESPACE=true.
- CVE-2026-31892Wysokie
Podatność w Argo Workflows pozwala użytkownikowi z uprawnieniami do przesyłania zadań (Workflows) na całkowite ominięcie zabezpieczeń zdefiniowanych w szablonie WorkflowTemplate. Poprzez dodanie pola podSpecPatch w przesyłanym zadaniu, użytkownik może nadpisać ustawienia szablonu, nawet gdy kontroler jest skonfigurowany w trybie ścisłego odwoływania (templateReferencing: Strict).
- CVE-2026-23960Średnie
Podatność XSS w Argo Workflows umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez listowanie katalogów artefaktów. Problem występuje przed wersjami 3.6.17 i 3.7.8.
Oryginalny opis (angielski, źródło NVD)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From 3.6.5 to 4.0.4, an unchecked array index in the pod informer's podGCFromPod() function causes a controller-wide panic when a workflow pod carries a malformed workflows.argoproj.io/pod-gc-strategy annotation. Because the panic occurs inside an informer goroutine (outside the controller's recover() scope), it crashes the entire controller process. The poisoned pod persists across restarts, causing a crash loop that halts all workflow processing until the pod is manually deleted. This vulnerability is fixed in 4.0.5 and 3.7.14.