JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026195 Argo Workflowsは、Kubernetes上で並列ジョブをオーケストレーションするためのオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.7.15および4.0.6以前では、CVE-2026-31892のallow-list（許可リスト）修正が不完全でした。これはworkflow/util/merge.goのValidateUserOverridesおよびSanitizeUserWorkflowSpecがWorkflowSpecのトップレベルフィールドのみをリフレクションを使って検査し、WorkflowSpec.ArtifactGCが丸ごと許可リストに含まれていたためです。このフィールドの背後にある構造体WorkflowLevelArtifactGCにはPodSpecPatchサブフィールドがあり、その内容はartifact-GCポッド上のutil.ApplyPodSpecPatchに修正されずに渡されます。これは元の修正でWorkflowSpec.PodSpecPatchに対して対策が取られたのと同じ問題です。そのため、templateReferencingをStrictまたはSecureに設定し（出力アーティファクトを宣言する参照されるWorkflowTemplateに対して）、spec.artifactGC.strategyがOnWorkflowCompletionに設定されているワークフローをユーザーが送信すると、artifact-GCポッドに任意の戦略的マージパッチを注入できてしまいます。これにはhostPathボリューム、privileged:true、任意のイメージとコマンド、hostNetwork:trueが含まれており、Strict/Secure参照モードの目的が失われます。この問題はバージョン3.7.15および4.0.6で修正されています。 cpe:/a:argoproj:argo_workflows https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026195.html Common Vulnerabilities and Exposures (CVE) CVE-2026-54526 https://www.cve.org/CVERecord?id=CVE-2026-54526 National Vulnerability Database (NVD) CVE-2026-54526 https://nvd.nist.gov/vuln/detail/CVE-2026-54526 GitHub Incomplete fix for CVE-2026-31892 / GHSA-3775-99mw-8rp4: ArtifactGC.PodSpecPatch bypass of Strict/Secure templateReferencing Advisory argoproj/argo-workflows GitHub https://github.com/argoproj/argo-workflows/security/advisories/GHSA-48p8-g2fx-3wwm JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html 関連文書 Release v3.7.15 argoproj/argo-workflows GitHub https://github.com/argoproj/argo-workflows/releases/tag/v3.7.15 関連文書 Release v4.0.6 argoproj/argo-workflows GitHub https://github.com/argoproj/argo-workflows/releases/tag/v4.0.6 関連文書 Merge commit from fork argoproj/argo-workflows@277e9ce GitHub https://github.com/argoproj/argo-workflows/commit/277e9cef0ad16d7eaaab253573d0695951a65dbd 関連文書 Merge commit from fork argoproj/argo-workflows@358cc39 GitHub https://github.com/argoproj/argo-workflows/commit/358cc3968c8f06f1be0967e41df191088db0b662 2026-07-31T14:59:59+09:00 2026-07-31T14:59:59+09:00