Argo Workflow heeft een Zipslip Vulnerability in github.com/argoproj/argo-workflows

De Zipslip kwetsbaarheid in Argo Workflows maakt het mogelijk voor een kwaadwillende gebruiker om bestanden buiten de beoogde extractie directory te schrijven. Dit gebeurt door middel van manipulatie van de zip-bestandsstructuur. Een aanvaller kan bijvoorbeeld een zip-bestand maken met een pad zoals '../etc/passwd' om het wachtwoordbestand te overschrijven. Dit kan leiden tot het compromitteren van de server, het verkrijgen van gevoelige informatie, en het uitvoeren van willekeurige code. De impact is aanzienlijk, aangezien een succesvolle exploit volledige controle over de server kan opleveren. De mogelijkheid om willekeurige bestanden te schrijven, opent de deur naar diverse aanvallen, waaronder het installeren van malware en het verkrijgen van toegang tot andere systemen binnen het netwerk.

Organizations deploying Argo Workflows in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Environments with older, unpatched versions of Argo Workflows are especially vulnerable. Shared hosting environments where multiple users have access to file upload functionalities also face increased risk.

• go / server:

find /opt/argoworkflows -type f -name '*.zip' -print0 | xargs -0 grep -i '\.\.\\'

• generic web:

curl -I <argo_workflows_url>/path/to/zip/extraction | grep 'Content-Type:'

1. 2025-11-05Disclosure

   disclosure

1. Gereserveerd2025-10-07
2. Gepubliceerd2025-11-05
3. Gewijzigd2026-02-04
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-62156 is het upgraden naar Argo Workflows versie 3.6.12 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) die zip-extractie-aanvragen filtert en potentieel schadelijke paden blokkeert. Zorg ervoor dat de Argo Workflows omgeving is geïsoleerd van andere systemen om de impact van een succesvolle exploit te beperken. Controleer de configuratie van Argo Workflows om te verzekeren dat er geen onnodige rechten zijn verleend aan de gebruiker die de workflows uitvoert. Na de upgrade, controleer de logbestanden op ongebruikelijke activiteiten gerelateerd aan zip-extractie om te bevestigen dat de kwetsbaarheid is verholpen.