Argo Workflow に github.com/argoproj/argo-workflows における Zipslip Vulnerability が存在します

Zipslip脆弱性は、圧縮されたアーカイブファイルを展開する際に、ファイルパスの検証が不十分なために発生します。攻撃者は、巧妙に細工されたアーカイブファイルを作成し、展開時に意図しない場所にファイルを書き込むことができます。Argo Workflowsにおいては、この脆弱性を悪用されると、攻撃者はシステム上の重要な設定ファイルや実行ファイルを書き換え、システムを完全に制御下に置くことが可能になります。特に、Argo Workflowsが特権ユーザーとして実行されている場合、影響は甚大です。この脆弱性は、類似のZipslip脆弱性と同様に、システム全体のセキュリティを脅かす深刻な問題です。

Organizations deploying Argo Workflows in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Environments with older, unpatched versions of Argo Workflows are especially vulnerable. Shared hosting environments where multiple users have access to file upload functionalities also face increased risk.

• go / server:

find /opt/argoworkflows -type f -name '*.zip' -print0 | xargs -0 grep -i '\.\.\\'

• generic web:

curl -I <argo_workflows_url>/path/to/zip/extraction | grep 'Content-Type:'

1. 2025-11-05Disclosure

   disclosure

1. 予約済み2025-10-07
2. 公開日2025-11-05
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

Argo Workflowsの3.6.12へのアップデートが最も効果的な対策です。アップデートが困難な場合は、一時的な回避策として、信頼できないソースからのアーカイブファイルの展開を禁止する設定を検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるアーカイブファイルがシステムに到達するのを防ぐことも有効です。ファイル展開処理におけるパスの検証を強化し、不正なファイルパスが使用されないようにする必要があります。展開処理のログを監視し、異常なファイル展開の兆候を早期に発見することも重要です。