Argo Workflow possui uma Vulnerabilidade Zipslip em github.com/argoproj/argo-workflows

A exploração bem-sucedida da vulnerabilidade Zipslip em Argo Workflows pode permitir que um atacante obtenha controle total sobre o sistema. Ao manipular o processo de extração de arquivos, um atacante pode injetar arquivos maliciosos em locais inesperados, como diretórios de sistema ou pastas de configuração. Isso pode levar à execução de código remoto (RCE), comprometendo a confidencialidade, integridade e disponibilidade dos dados e serviços. A falha reside na falta de validação adequada dos caminhos de arquivos durante a extração de arquivos ZIP, permitindo que um atacante manipule o caminho de destino para escrever arquivos fora do diretório pretendido. A gravidade da vulnerabilidade é alta devido ao potencial de execução remota de código e à facilidade de exploração.

Organizations deploying Argo Workflows in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Environments with older, unpatched versions of Argo Workflows are especially vulnerable. Shared hosting environments where multiple users have access to file upload functionalities also face increased risk.

• go / server:

find /opt/argoworkflows -type f -name '*.zip' -print0 | xargs -0 grep -i '\.\.\\'

• generic web:

curl -I <argo_workflows_url>/path/to/zip/extraction | grep 'Content-Type:'

1. 2025-11-05Disclosure

   disclosure

1. Reservado2025-10-07
2. Publicada2025-11-05
3. Modificada2026-02-04
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-62156 é atualizar o Argo Workflows para a versão 3.6.12 ou superior, que inclui a correção para essa vulnerabilidade. Se a atualização imediata não for possível, considere implementar controles de validação de arquivos mais rigorosos para restringir os locais onde os arquivos podem ser extraídos. Implemente regras de firewall ou proxy para bloquear o acesso não autorizado ao componente Argo Workflows. Monitore os logs do sistema em busca de atividades suspeitas relacionadas à extração de arquivos ou escrita de arquivos em locais inesperados. Após a atualização, confirme a correção verificando se os caminhos de arquivos extraídos são devidamente validados e se não é possível escrever arquivos fora do diretório pretendido.