PT-2024-35462 · Argo Helm · Argo Helm

Agilgur5 · Publicado 2024-11-22 · Atualizado 2024-11-22 · CVE-2024-52814

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.8

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Argo Helm anteriores à 0.45.0

Descrição

O problema está relacionado à falta de granularidade nos privilégios da função workflow-role, o que concede permissões desnecessárias às funções workflowtasksets e workflowartifactgctasks para todos os Pods de fluxo de trabalho. Isso pode afetar potencialmente os relatórios de status para certos tipos de Pods e modelos. O impacto é considerado mínimo.

Recomendações

Para versões anteriores à 0.45.0, atualize para a versão 0.45.0 para resolver o problema. Como solução alternativa temporária, considere restringir os privilégios do workflow-role apenas aos necessários para que o Controller funcione corretamente, minimizando o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-1220

Identificadores relacionados

CVE-2024-52814

GHSA-H974-W8PG-CX73

Produtos afetados

Argo Helm

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/52xxx/CVE-2024-52814.json · Exploit
• https://github.com/argoproj/argo-workflows/blob/5aac5a8f61f4e8273d04509dffe7d80123ff67f5/manifests/quick-start/base/artifactgc-role.yaml · Nota
• https://github.com/argoproj/argo-workflows/blob/5aac5a8f61f4e8273d04509dffe7d80123ff67f5/manifests/quick-start/base/agent-role.yaml · Nota
• https://github.com/argoproj/argo-helm/blob/2653aef414ab6a5d8617af75f04190a8f7da28dc/charts/argo-workflows/templates/controller/workflow-role.yaml · Nota
• https://github.com/argoproj/argo-helm/blob/2653aef414ab6a5d8617af75f04190a8f7da28dc/charts/argo-workflows/templates/controller/workflow-role.yaml#L45-L56 · Nota
• https://github.com/argoproj/argo-helm/security/advisories/GHSA-h974-w8pg-cx73 · Nota
• https://twitter.com/CVEnew/status/1859995416135119272 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-52814 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-52814 · Aviso do Fabricante