Kubernetes向けワークフロー自動化ツール「Argo Events」に深刻な脆弱性

Kubernetes環境向けのイベント駆動型ワークフロー自動化フレームワーク「Argo Events」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

「EventSource」および「Sensor」のカスタムリソース（CR）を作成、変更できるユーザーによって、特権アクセスが取得できる脆弱性「CVE-2025-32445」が明らかとなったもの。

Podの一部テンプレート設定を通じて任意のコンテナ仕様を注入することが可能。特権モードでホストパスをマウントし、ホストシステム上のファイルへアクセスしたり、クラスタ全体の操作権限を取得することができるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」、重要度は「クリティカル（Critical）」と評価されている。概念実証コードも公開されている。

開発チームでは、2025年4月6日にリリースした「同1.9.6」にて脆弱性を修正。アップデートが呼びかけられている。

（Security NEXT - 2025/04/15 ）ツイート