🇰🇷 한글 설명
Argo Events는 Kubernetes를 위한 이벤트 기반 워크플로우 자동화 프레임워크입니다. 1.7.1 버전 이전의 일부 HandleRoute 엔드포인트는 데이터를 메모리에 모두 읽어들이는 ioutil.ReadAll() 함수를 사용합니다. 공격자가 대용량 요청을 보내면 서버 메모리가 고갈되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
공격자가 아주 큰 데이터를 서버로 보내서 서버의 메모리를 가득 채워버리는 공격입니다. 이로 인해 서버가 감당하지 못하고 멈춰버려 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Argo Events is an event-driven workflow automation framework for Kubernetes. Prior to version 1.7.1, several `HandleRoute` endpoints make use of the deprecated `ioutil.ReadAll()`. `ioutil.ReadAll()` reads all the data into memory. As such, an attacker who sends a large request to the Argo Events server will be able to crash it and cause denial of service. A patch for this vulnerability has been released in Argo Events version 1.7.1.
📍 영향받는 시스템
Argo Events 1.7.1 미만 버전
⚔️ 공격 벡터
HandleRoute 엔드포인트로 대용량 HTTP 요청 전송
🛡️ 대응 방법
Argo Events를 1.7.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 Argo Events의 버전이 1.7.1보다 낮은지 확인합니다.
helm list -A | grep argo-events | awk '{print $4}'