つみかさね

CVE-2026-28229

Critical(9.8)

Argo Workflowsの認証バイパスによるSecret漏洩 CVE-2026-28229：影響範囲と対応方法

公開日: 2026-03-21データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Argo WorkflowsArgoproj< 4.0.2 / < 3.7.11

対応ガイド

high|対応必須セキュリティ修正影響: 極めて広範

推奨アクション

  1. 1影響を受けるバージョンを使用しているか確認
  2. 2修正バージョンへのアップデートまたはパッチ適用
  3. 3アップデート不可の場合は回避策の検討・適用

影響対象

Argo Workflows

補足

  • -CVSS Critical — 早急な対応を推奨します
CVEArgo WorkflowsKubernetes認証バイパス

概要

Argo WorkflowsはKubernetes上で並列ジョブをオーケストレーションするオープンソースのワークフローエンジンです。WorkflowTemplates（およびClusterWorkflowTemplates）のエンドポイントが認証を適切に検証せず、Authorization: Bearer nothing のような無効なトークンでもテンプレートの内容を取得できます。テンプレートに埋め込まれたSecret情報が漏洩する可能性があります。

CVSSベクトル

項目値
CVSSスコア9.8 (Critical)
CWECWE-863（不適切な認可）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な権限不要
ユーザー操作不要

影響を受けるソフトウェア

  • Argo Workflows 4.0.2未満
  • Argo Workflows 3.7.11未満

修正バージョンと回避策

  • 修正バージョン: 4.0.2 / 3.7.11

関連リンク

データソース: NVD (NIST), GitHub Advisory Database

AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

GitHub Advisory:https://github.com/argoproj/argo-workflows/security/advisories/GHSA-56px-hm34-xqj5
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-28229
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。