Argo Workflow में github.com/argoproj/argo-workflows में एक Zipslip भेद्यता है

Zipslip भेद्यता तब होती है जब एक एप्लिकेशन ज़िप फ़ाइल को अनज़िप करते समय उपयोगकर्ता-नियंत्रित इनपुट को ठीक से मान्य नहीं करता है। Argo Workflows के मामले में, एक हमलावर एक विशेष रूप से तैयार की गई ज़िप फ़ाइल का उपयोग करके मनमाने ढंग से फ़ाइलों को सिस्टम पर लिख सकता है। यह हमलावर को संवेदनशील डेटा तक पहुंचने, सिस्टम फ़ाइलों को संशोधित करने या यहां तक कि सिस्टम पर नियंत्रण प्राप्त करने की अनुमति दे सकता है। इस भेद्यता का उपयोग सिस्टम की सुरक्षा को गंभीर रूप से खतरे में डालने के लिए किया जा सकता है।

Organizations deploying Argo Workflows in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Environments with older, unpatched versions of Argo Workflows are especially vulnerable. Shared hosting environments where multiple users have access to file upload functionalities also face increased risk.

• go / server:

find /opt/argoworkflows -type f -name '*.zip' -print0 | xargs -0 grep -i '\.\.\\'

• generic web:

curl -I <argo_workflows_url>/path/to/zip/extraction | grep 'Content-Type:'

1. 2025-11-05Disclosure

   disclosure

1. आरक्षित2025-10-07
2. प्रकाशित2025-11-05
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-03-23

CVE-2025-62156 को कम करने के लिए, Argo Workflows को तुरंत 3.6.12 या बाद के संस्करण में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो ज़िप फ़ाइलों को संभालने से बचें या इनपुट को सख्त रूप से मान्य करें। फ़ाइल पथों को मान्य करने के लिए व्हाइटलिस्टिंग का उपयोग करें और सुनिश्चित करें कि अनज़िप की गई फ़ाइलें अपेक्षित स्थान पर लिखी गई हैं। WAF नियमों को लागू करें जो ज़िप फ़ाइलों में असामान्य पथों का पता लगा सकें।