概要
Kubernetes向けワークフローエンジン「Argo Workflows」のバージョン3.6.5〜4.0.4に、サービス拒否（DoS）脆弱性が存在します。
Pod informerの podGCFromPod() 関数に未チェックの配列インデックスがあり、不正な workflows.argoproj.io/pod-gc-strategy アノテーションを持つワークフローPodがコントローラ全体のパニックを引き起こします。パニックはinformerゴルーチン内で発生するため、コントローラのrecover()スコープ外であり、プロセス全体がクラッシュします。
不正なPodは再起動後も残存するため、手動で削除するまでコントローラがクラッシュループに陥り、すべてのワークフロー処理が停止します。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.7（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限レベル | 低 |
| CWE | CWE-129（不適切な配列インデックス検証） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| Argo Workflows | argoproj | 3.6.5〜4.0.4 | 4.0.5 |
| Argo Workflows | argoproj | 3.6.5〜3.7.13 | 3.7.14 |
修正バージョンと回避策
- 修正: Argo Workflows 4.0.5または3.7.14へアップデート
- 回避策: 不正なアノテーションを持つPodを手動削除してコントローラを復旧
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。