🇰🇷 한글 설명
Argo Workflows의 Workflow templates 엔드포인트에서 인증되지 않은 클라이언트가 WorkflowTemplates 및 ClusterWorkflowTemplates를 조회할 수 있는 취약점입니다. Authorization: Bearer nothing 토큰을 사용한 요청을 통해 Secret 매니페스트를 포함한 민감한 템플릿 내용이 유출될 수 있습니다.
💡 쉬운 설명
로그인하지 않은 사용자도 워크플로우 설정 파일을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이 과정에서 비밀번호나 인증 키 같은 중요한 정보가 함께 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. Prior to 4.0.2 and 3.7.11, Workflow templates endpoints allow any client to retrieve WorkflowTemplates (and ClusterWorkflowTemplates). Any request with a Authorization: Bearer nothing token can leak sensitive template content, including embedded Secret manifests. This vulnerability is fixed in 4.0.2 and 3.7.11.
📍 영향받는 시스템
Argo Workflows 4.0.2 미만 및 3.7.11 미만 버전
⚔️ 공격 벡터
인증 토큰을 비워둔 상태(Bearer nothing)로 Workflow templates 엔드포인트에 접근하여 데이터 탈취
🛡️ 대응 방법
Argo Workflows를 4.0.2 또는 3.7.11 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 Argo Workflows의 버전이 4.0.2 또는 3.7.11보다 낮은지 확인
argo version | grep -E 'Argo Workflows'