JVNDB-2026-015912

Argo Project AuthorsのArgo Workflowsにおける不正な認証に関する脆弱性

Argo Workflowsは、Kubernetes上での並列ジョブのオーケストレーションのためのオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.7.14および4.0.5より前のバージョンでは、Workflow作成権限を持つユーザーがtemplateReferencing: Strictをバイパスし、ホストネットワークへのアクセス、サービスアカウントの切り替え、Podセキュリティコンテキストの上書き、制御プレーンノードへのスケジューリングのためのトレランス追加、またはSAトークンマウントの有効化を行うことが可能でした。これは、この機能の目的を損なう行為です。実際の影響は、Kubernetesレベルでどのような制御があるかによります。PodSecurity AdmissionやOPA/Gatekeeperを使用しているクラスターでは、一部機能（例えばhostNetworkの使用）を独自にブロックします。ArgoのStrictモードを主な強制レイヤーとしているクラスターは完全に曝露されます。この問題はバージョン3.7.14および4.0.5で修正されました。

Argo Project Authors

• Argo Workflows 3.7.14 未満
• Argo Workflows 4.0.0 以上 4.0.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incomplete fix for CVE-2026-31892: hostNetwork, securityContext, serviceAccountName bypass templateReferencing Strict/Secure  Advisory  argoproj/argo-workflows  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-42296

1. National Vulnerability Database (NVD) : CVE-2026-42296
2. 関連文書 : Release v3.7.14  argoproj/argo-workflows  GitHub
3. 関連文書 : Release v4.0.5  argoproj/argo-workflows  GitHub
4. 関連文書 : Merge commit from fork  argoproj/argo-workflows@534f4ff  GitHub

• [2026年05月18日]
    掲載