🇰🇷 한글 설명
Argo Workflows 4.0.0~4.0.5 이전 버전의 Sync Service에서 ConfigMap에 대한 권한 검증이 없어, 인증된 사용자가 동기화 제한 설정을 임의로 변조할 수 있습니다. 이를 통해 워크플로우 실행 방해 및 시스템 설정 악용이 가능합니다.
💡 쉬운 설명
Kubernetes 자동화 도구인 Argo에서 권한 확인 없이 중요한 설정을 수정할 수 있는 결함이 발견되었습니다. 로그인된 누구나 시스템 설정을 마음대로 변경할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From version 4.0.0 to before version 4.0.5, the Sync Service's ConfigMap-backed provider (server/sync/sync_cm.go) performs zero authorization checks on all CRUD operations (create, read, update, delete). Any authenticated user — including those using fake Bearer tokens — can create, read, update, and delete Kubernetes ConfigMaps containing synchronization limits. This issue has been patched in version 4.0.5.
📍 영향받는 시스템
Argo Workflows 4.0.0~4.0.4 (Kubernetes)
⚔️ 공격 벡터
인증된 사용자가 ConfigMap CRUD 작업으로 동기화 제한 설정 변조
🛡️ 대응 방법
Argo Workflows를 4.0.5 이상으로 즉시 업그레이드
🔧 검증 코드
반환된 버전이 4.0.5 이상이면 안전, 4.0.0~4.0.4이면 취약점 존재하므로 업그레이드 필요.
argo version 2>/dev/null | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+' || kubectl get pod -n argo -o jsonpath='{.items[0].spec.containers[0].image}' 2>/dev/null