PT-2024-32838 · Unknown+1 · Argo Workflows+1
Meln5674
·
Publicado
2024-10-28
·
Atualizado
2026-02-06
·
CVE-2024-47827
CVSS v4.0
6.9
Média
| Vetor | AV:A/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Argo Workflows versão 3.6.0-rc1
Descrição
Devido a uma condição de corrida em uma variável global, o controlador do Argo Workflows pode ser levado a travar sob comando por qualquer usuário com acesso para executar um fluxo de trabalho. Essa vulnerabilidade pode ser explorada criando e limpando vários pods de daemon em rápida sucessão, o que aciona um panic e reinicia o controlador. Um usuário mal-intencionado com acesso para criar fluxos de trabalho pode enviar continuamente fluxos que não fazem nada além de criar e, em seguida, limpar vários pods de daemon, resultando em um ciclo de travamento que impede a execução dos fluxos de trabalho de outros usuários.
Recomendações
Para a versão 3.6.0-rc1 do Argo Workflows, atualize para a versão 3.6.0-rc2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à execução de fluxos de trabalho ou limitar a criação de pods de daemon para minimizar o risco de exploração.
Exploit
Correção
Race Condition
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Argo Workflows
Suse