🇰🇷 한글 설명
Argo Workflows의 podGCFromPod() 함수에서 배열 인덱스 검사가 누락되어, 잘못된 pod-gc-strategy 주석을 가진 워크플로우 팟이 컨트롤러 전체를 패닉시킵니다. 컨트롤러의 recover() 범위 외부에서 발생하는 패닉으로 전체 프로세스가 중단되며, 영향받은 팟을 수동으로 삭제할 때까지 지속적인 충돌 루프가 발생합니다.
💡 쉬운 설명
Argo Workflows 도구에서 특정 팟이 잘못된 정보를 가지면 전체 시스템이 멈춥니다. 해당 팟을 삭제할 때까지 시스템은 계속 재시작을 반복하며 정상 작동하지 않습니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From 3.6.5 to 4.0.4, an unchecked array index in the pod informer's podGCFromPod() function causes a controller-wide panic when a workflow pod carries a malformed workflows.argoproj.io/pod-gc-strategy annotation. Because the panic occurs inside an informer goroutine (outside the controller's recover() scope), it crashes the entire controller process. The poisoned pod persists across restarts, causing a crash loop that halts all workflow processing until the pod is manually deleted. This vulnerability is fixed in 4.0.5 and 3.7.14.
📍 영향받는 시스템
Argo Workflows 3.6.5~4.0.4
⚔️ 공격 벡터
잘못된 workflows.argoproj.io/pod-gc-strategy 주석을 포함한 워크플로우 팟 배포
🛡️ 대응 방법
Argo Workflows를 4.0.5 또는 3.7.14 이상으로 업그레이드
🔧 검증 코드
표시된 버전이 4.0.5 이상 또는 3.7.14 이상이면 안전하고, 그 이하면 업그레이드 필요
argo version 2>/dev/null | grep -oP 'Version.*?\d+\.\d+\.\d+'