🇰🇷 한글 설명
Argo Workflows의 압축 해제 과정에서 심볼릭 링크를 처리하는 로직에 결함이 있어 발생한 취약점입니다. 공격자가 악의적인 아카이브를 통해 /var/run/argo/argoexec 파일을 덮어쓰면, Pod 시작 시 임의의 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 파일의 경로를 조작하는 기술을 사용하여, 시스템의 중요한 파일을 공격자가 원하는 파일로 바꿔치기할 수 있는 문제입니다. 이를 통해 공격자는 프로그램이 시작될 때 자신의 명령어를 몰래 실행할 수 있습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Versions 3.6.13 and below and versions 3.7.0 through 3.7.4, contain unsafe untar code that handles symbolic links in archives. Concretely, the computation of a link's target and the subsequent check are flawed. An attacker can overwrite the file /var/run/argo/argoexec with a script of their choice, which would be executed at the pod's start. The patch deployed against CVE-2025-62156 is ineffective against malicious archives containing symbolic links. This issue is fixed in versions 3.6.14 and 3.7.5.
📍 영향받는 시스템
Argo Workflows 3.6.13 이하 버전 및 3.7.0 ~ 3.7.4 버전
⚔️ 공격 벡터
심볼릭 링크가 포함된 악의적인 아카이브 파일을 업로드하여 특정 경로의 파일을 덮어쓰는 방식
🛡️ 대응 방법
Argo Workflows를 3.6.14 또는 3.7.5 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.6.14 이상 또는 3.7.5 이상인지 확인하여 취약 여부를 판단합니다.
argo version | grep -E '3\.(6\.[0-9]{2,}|7\.[5-9]|7\.[1-9][0-9])' || echo 'Check version manually'