PT-2022-19423 · Unknown · Kubernetes+2
Alexec
·
Publicado
2022-05-05
·
Atualizado
2026-02-06
·
CVE-2022-29164
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Argo Workflows anteriores à versão corrigida
Descrição
O Argo Workflows é um mecanismo de fluxo de trabalho nativo de contêineres de código aberto para orquestrar tarefas paralelas no Kubernetes. Nas versões afetadas, um invasor pode criar um fluxo de trabalho que gera um artefato HTML contendo um arquivo HTML com um script que utiliza chamadas XHR para interagir com a
Argo Server API. O invasor envia por e-mail um link direto para o artefato à vítima, que, ao abrir o link, permite que o script seja executado. Com acesso à Argo Server API como a vítima, o script pode ler informações sobre os fluxos de trabalho da vítima ou criar e excluir fluxos de trabalho. O invasor deve ser alguém interno com acesso ao mesmo cluster que a vítima e já deve ser capaz de executar seus próprios fluxos de trabalho. Ele também deve ter conhecimento do sistema da vítima. Não há evidências de que essa vulnerabilidade tenha sido explorada na prática.Recomendações
Como solução alternativa temporária, considere desativar o Argo Server até que um patch esteja disponível.
Atualize para a versão corrigida para resolver o problema.
Observe que desativar o Argo Server é atualmente a única solução alternativa conhecida, e nenhuma correção está planejada para a versão 2.12, que está fora de suporte há algum tempo.
Exploit
Correção
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Argo Server
Argo Workflows
Kubernetes