PT-2021-19822 · Github · Codeql Runner
Jlleitschuh
·
Publicado
2021-05-25
·
Atualizado
2022-07-02
·
CVE-2021-32638
CVSS v3.1
4.4
Média
| Vetor | AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
CodeQL runner (versões afetadas não especificadas)
Descrição
Anteriormente, o CodeQL runner sugeria passar um token do GitHub como parâmetro de linha de comando, tornando-o visível para outros processos na mesma máquina. Essa abordagem pode expor o token de acesso do GitHub além do escopo pretendido se o sistema de CI expor publicamente a saída do comando
ps. Os usuários do executador CodeQL em sistemas de terceiros que passam um token do GitHub por meio do sinalizador --github-auth são afetados. O sinalizador --github-auth agora é considerado inseguro e obsoleto. Para fornecer um token de acesso do GitHub com segurança, os usuários devem usar o sinalizador --github-auth-stdin e passar o token pela entrada padrão ou definir a variável de ambiente GITHUB TOKEN.Recomendações
Para resolver o problema, atualize para uma versão recente do executador CodeQL.
Armazene um token no mecanismo de armazenamento de segredos do seu sistema de CI.
Passe o token para o executador CodeQL usando
--github-auth-stdin ou a variável de ambiente GITHUB TOKEN.Se ainda estiver usando o sinalizador antigo, certifique-se de que a saída do processo, como a do
ps, não seja mantida nos logs de CI.Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Codeql Runner