🇰🇷 한글 설명
Argo Workflows 4.0.0~4.0.5 이전 버전에서 워크플로우 executor가 S3, GCS, Azure, Git 등의 artifact repository 자격증명을 평문으로 pod 로그에 기록합니다. pod 로그에 읽기 접근 권한이 있는 사용자가 이 자격증명을 추출할 수 있어 심각한 정보 유출이 발생합니다.
💡 쉬운 설명
Argo라는 쿠버네티스 워크플로우 도구가 비밀번호와 API 키를 일반 로그에 저장합니다. 로그를 볼 수 있는 누구나 이들 비밀번호를 읽을 수 있다는 뜻입니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From version 4.0.0 to before version 4.0.5, the workflow executor logs all artifact repository credentials (S3 access keys, secret keys, GCS service account keys, Azure account keys, Git passwords, etc.) in plaintext on artifact operation. Any user with read access to workflow pod logs can extract these credentials. This issue has been patched in version 4.0.5.
📍 영향받는 시스템
Argo Workflows 4.0.0 ~ 4.0.4 버전 (Kubernetes 환경)
⚔️ 공격 벡터
pod 로그 접근 권한을 가진 내부 사용자 또는 공격자가 kubectl logs 명령어로 executor 로그를 읽어 자격증명 추출
🛡️ 대응 방법
Argo Workflows를 4.0.5 이상으로 즉시 업그레이드하고 노출된 자격증명(S3 키, GCS 키, Azure 키, Git 비밀번호 등) 모두 재발급
🔧 검증 코드
출력된 버전 번호가 4.0.5 이상이면 안전, 4.0.4 이하이면 패치 필요
argo version 2>/dev/null | head -1