PT-2020-14294 · Github · @Actions/Core
Moderatechrispat
·
Publicado
2020-10-01
·
Atualizado
2021-11-18
·
CVE-2020-15228
CVSS v2.0
4.0
Média
| Vetor | AV:N/AC:L/Au:S/C:N/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do @actions/core anteriores à 1.2.6
Descrição
O problema decorre das funções
addPath e exportVariable no módulo npm @actions/core, que se comunicam com o Actions Runner por meio do stdout, gerando uma string em um formato específico. Isso pode levar à modificação indesejada de caminhos ou variáveis de ambiente quando os fluxos de trabalho registram dados não confiáveis no stdout. O problema é causado pela forma como os comandos são trocados entre o processo do Actions Runner e a ação executada por meio do fluxo de saída padrão (STDOUT), onde o Actions Runner analisa a saída padrão e identifica marcadores de comando.Recomendações
Para versões anteriores à 1.2.6, atualize para
@actions/core v1.2.6 ou posterior e substitua qualquer instância dos comandos set-env ou add-path nos fluxos de trabalho pela nova sintaxe de arquivo de ambiente. Como solução alternativa temporária, considere restringir o uso das funções addPath e exportVariable até que a atualização seja aplicada.Exploit
Correção
Command Injection
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
@Actions/Core