🇰🇷 한글 설명
Argo Workflows의 특정 버전에서 workflow-controller 포드 로그에 아티팩트 저장소 자격 증명이 평문으로 노출되는 취약점이 발견되었습니다. 해당 네임스페이스의 포드 로그를 읽을 수 있는 권한을 가진 공격자는 이 로그를 통해 저장소 접근 권한을 탈취할 수 있습니다.
💡 쉬운 설명
워크플로우를 관리하는 프로그램의 기록(로그)에 비밀번호가 암호화되지 않은 채 그대로 적혀 있는 문제입니다. 로그를 볼 수 있는 권한이 있다면 누구나 저장소의 비밀번호를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Argo Workflows versions prior to 3.6.12 and versions 3.7.0 through 3.7.2 expose artifact repository credentials in plaintext in workflow-controller pod logs. An attacker with permissions to read pod logs in a namespace running Argo Workflows can read the workflow-controller logs and obtain credentials to the artifact repository. Update to versions 3.6.12 or 3.7.3 to remediate the vulnerability. No known workarounds exist.
📍 영향받는 시스템
Argo Workflows 3.6.12 미만 버전 및 3.7.0 ~ 3.7.2 버전
⚔️ 공격 벡터
네임스페이스 내 포드 로그 읽기 권한을 이용한 workflow-controller 로그 탈취
🛡️ 대응 방법
Argo Workflows를 3.6.12 또는 3.7.3 이상의 버전으로 업데이트
🔧 검증 코드
출력된 이미지 태그 버전이 3.6.12 또는 3.7.3 이상인지 확인
kubectl get pods -n <namespace> -l app.kubernetes.io/name=argo-workflows -o jsonpath='{.items[*].spec.containers[*].image}'