Kubernetes向けワークフロー自動化ツール「Argo Events」に深刻な脆弱性

Kubernetes環境向けのイベント駆動型ワークフロー自動化フレームワーク「Argo Events」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

「EventSource」および「Sensor」のカスタムリソース（CR）を作成、変更できるユーザーによって、特権アクセスが取得できる脆弱性「CVE-2025-32445」が明らかとなったもの。

Podの一部テンプレート設定を通じて任意のコンテナ仕様を注入することが可能。特権モードでホストパスをマウントし、ホストシステム上のファイルへアクセスしたり、クラスタ全体の操作権限を取得することができるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」、重要度は「クリティカル（Critical）」と評価されている。概念実証コードも公開されている。

開発チームでは、2025年4月6日にリリースした「同1.9.6」にて脆弱性を修正。アップデートが呼びかけられている。

（Security NEXT - 2025/04/15 ） ツイート

PR

関連記事

I-O DATAのNAS製品「HDL-T」シリーズに深刻な脆弱性
SAMLライブラリ「samlify」に「クリティカル」脆弱性
米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に
トルコ関与疑われる攻撃グループ、チャット製品にゼロデイ攻撃
「Kibana」にプロトタイプ汚染の脆弱性 - アップデートや緩和策
「Firefox」のJavaScript処理に脆弱性 - 重要度「クリティカル」
「Auth0」のSDKに脆弱性 - 各プラットフォーム向けにアップデート
「glibc」に深刻な脆弱性 - 2024年のアップデートで修正済み
多要素認証製品「Advanced Authentication」に脆弱性 - 4月更新で修正済み
「macOS」にアップデート - 多数脆弱性を解消