JVNDB-2026-026195

Argo Project AuthorsのArgo Workflowsにおけるアクセス制御に関する脆弱性

Argo Workflowsは、Kubernetes上で並列ジョブをオーケストレーションするためのオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.7.15および4.0.6以前では、CVE-2026-31892のallow-list（許可リスト）修正が不完全でした。これはworkflow/util/merge.goのValidateUserOverridesおよびSanitizeUserWorkflowSpecがWorkflowSpecのトップレベルフィールドのみをリフレクションを使って検査し、WorkflowSpec.ArtifactGCが丸ごと許可リストに含まれていたためです。このフィールドの背後にある構造体WorkflowLevelArtifactGCにはPodSpecPatchサブフィールドがあり、その内容はartifact-GCポッド上のutil.ApplyPodSpecPatchに修正されずに渡されます。これは元の修正でWorkflowSpec.PodSpecPatchに対して対策が取られたのと同じ問題です。そのため、templateReferencingをStrictまたはSecureに設定し（出力アーティファクトを宣言する参照されるWorkflowTemplateに対して）、spec.artifactGC.strategyがOnWorkflowCompletionに設定されているワークフローをユーザーが送信すると、artifact-GCポッドに任意の戦略的マージパッチを注入できてしまいます。これにはhostPathボリューム、privileged:true、任意のイメージとコマンド、hostNetwork:trueが含まれており、Strict/Secure参照モードの目的が失われます。この問題はバージョン3.7.15および4.0.6で修正されています。

Argo Project Authors

• Argo Workflows 3.7.15 未満
• Argo Workflows 4.0.0 以上 4.0.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incomplete fix for CVE-2026-31892 / GHSA-3775-99mw-8rp4: ArtifactGC.PodSpecPatch bypass of Strict/Secure templateReferencing  Advisory  argoproj/argo-workflows  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]

1. CVE-2026-54526

1. National Vulnerability Database (NVD) : CVE-2026-54526
2. 関連文書 : Merge commit from fork  argoproj/argo-workflows@358cc39  GitHub
3. 関連文書 : Release v3.7.15  argoproj/argo-workflows  GitHub
4. 関連文書 : Release v4.0.6  argoproj/argo-workflows  GitHub
5. 関連文書 : Merge commit from fork  argoproj/argo-workflows@277e9ce  GitHub

• [2026年07月31日]
    掲載