🇰🇷 한글 설명
Argo Workflows의 아티팩트 추출 과정에서 Zip Slip 경로 탐색 취약점이 발견되었습니다. 공격자가 조작된 압축 파일을 통해 의도된 디렉토리를 벗어나 컨테이너 내 시스템 디렉토리에 임의의 파일을 생성하거나 덮어쓸 수 있습니다. 이를 통해 권한 상승이나 지속적인 침투가 가능해질 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 파일 이름에 '상위 폴더로 이동'하는 명령이 숨겨져 있으면, 원래 풀어야 할 폴더가 아닌 시스템 중요한 폴더에 파일을 몰래 넣을 수 있는 문제입니다. 이를 이용해 해커가 컴퓨터의 설정 파일을 바꿔 시스템 권한을 뺏을 수 있습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Versions prior to 3.6.12 and versions 3.7.0 through 3.7.2 contain a Zip Slip path traversal vulnerability in artifact extraction. During artifact extraction the unpack/untar logic (workflow/executor/executor.go) uses filepath.Join(dest, filepath.Clean(header.Name)) without validating that header.Name stays within the intended extraction directory. A malicious archive entry can supply a traversal or absolute path that, after cleaning, overrides the destination directory and causes files to be written outside the /work/tmp extraction path and into system directories such as /etc inside the container. The vulnerability enables arbitrary file creation or overwrite in system configuration locations (for example /etc/passwd, /etc/hosts, /etc/crontab), which can lead to privilege escalation or persistence within the affected container. Update to 3.6.12 or 3.7.3 to remediate the issue.
📍 영향받는 시스템
Argo Workflows 3.6.12 미만 버전 및 3.7.0 ~ 3.7.2 버전
⚔️ 공격 벡터
조작된 경로(Zip Slip)가 포함된 아티팩트 압축 파일을 업로드하여 실행
🛡️ 대응 방법
Argo Workflows를 3.6.12 또는 3.7.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 3.6.12 미만이거나 3.7.0~3.7.2 범위에 해당하면 취약한 상태입니다.
argo version | grep -E 'Argo Workflows version'