🇰🇷 한글 설명
Argo Workflows의 아티팩트 디렉토리 목록 표시 기능에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 워크플로 작성 권한을 이용해 다른 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있으며, 이를 통해 피해자의 권한으로 API 작업을 수행할 수 있습니다.
💡 쉬운 설명
악성 코드가 숨겨진 파일을 만들어 두면, 다른 사용자가 해당 목록을 볼 때 몰래 해킹 코드가 실행됩니다. 이를 통해 해커가 피해자의 권한을 도용하여 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Prior to versions 3.6.17 and 3.7.8, stored XSS in the artifact directory listing allows any workflow author to execute arbitrary JavaScript in another user’s browser under the Argo Server origin, enabling API actions with the victim’s privileges. Versions 3.6.17 and 3.7.8 fix the issue.
📍 영향받는 시스템
Argo Workflows 3.6.17 및 3.7.8 미만 버전
⚔️ 공격 벡터
워크플로 작성자가 조작된 아티팩트 파일명을 통해 저장형 XSS 공격 수행
🛡️ 대응 방법
Argo Workflows를 3.6.17 또는 3.7.8 이상의 버전으로 업데이트
🔧 검증 코드
출력된 이미지 태그 버전을 확인하여 3.6.17 또는 3.7.8 미만인지 확인
kubectl get pods -n argo -o jsonpath='{.items[*].spec.containers[*].image}' | grep -E 'argo-workflows'