CVE-2026-42183
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Argo Workflows w wersjach od 4.0.0 do 4.0.5 ma podatność na dereferencję wskaźnika null w funkcji rbacAuthorization() w pliku server/auth/gatekeeper.go. Powoduje to panikę (odmowę usługi) dla użytkowników SSO, których dane pasują do reguły RBAC na poziomie przestrzeni nazw, ale nie do reguły SSO-namespace, gdy włączona jest opcja SSO_DELEGATE_RBAC_TO_NAMESPACE=true.
Ocena ryzyka
Użytkownicy SSO mogą przypadkowo spowodować awarię serwera Argo Workflows, co prowadzi do przerwania działania potoków CI/CD.
Rekomendacja
Należy natychmiast zaktualizować Argo Workflows do wersji 4.0.5 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From version 4.0.0 to before version 4.0.5, a nil pointer dereference in server/auth/gatekeeper.go rbacAuthorization() causes a panic (denial of service) for SSO users whose claims match a namespace-level RBAC rule but not an SSO-namespace rule, when SSO_DELEGATE_RBAC_TO_NAMESPACE=true. This issue has been patched in version 4.0.5.