Argo Workflow 在 github.com/argoproj/argo-workflows 中存在 Zipslip 漏洞

Zipslip 漏洞允许攻击者通过精心构造的压缩文件，在解压缩过程中控制文件路径，从而读取系统中的任意文件。在 Argo Workflows 的上下文中，这意味着攻击者可能能够访问 Argo Workflows 的配置文件、凭据文件，甚至其他敏感数据。攻击者可以利用这些信息进行进一步的攻击，例如横向移动到其他系统，或窃取敏感数据。由于 Argo Workflows 通常用于自动化工作流程，因此该漏洞的潜在影响范围可能非常广泛，可能影响到整个组织的基础设施。

Organizations deploying Argo Workflows in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Environments with older, unpatched versions of Argo Workflows are especially vulnerable. Shared hosting environments where multiple users have access to file upload functionalities also face increased risk.

• go / server:

find /opt/argoworkflows -type f -name '*.zip' -print0 | xargs -0 grep -i '\.\.\\'

• generic web:

curl -I <argo_workflows_url>/path/to/zip/extraction | grep 'Content-Type:'

1. 2025-11-05Disclosure

   disclosure

1. 已保留2025-10-07
2. 发布日期2025-11-05
3. 修改日期2026-02-04
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到 Argo Workflows 3.6.12 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 Argo Workflows 能够访问的文件目录，并实施严格的输入验证，以防止攻击者上传恶意压缩文件。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止包含恶意文件路径的请求。监控 Argo Workflows 的日志，以查找任何异常的文件访问活动。