PT-2022-23055 · Github · @Actions/Core

Jupenur · Publicado 2022-08-13 · Atualizado 2022-12-14 · CVE-2022-35954

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do @actions/core anteriores à v1.9.1

Descrição

A função core.exportVariable utiliza um delimitador conhecido que os invasores podem usar para escapar dessa variável específica e atribuir valores a outras variáveis arbitrárias. Fluxos de trabalho que gravam valores não confiáveis no arquivo GITHUB ENV podem fazer com que o caminho ou outras variáveis de ambiente sejam modificados sem a intenção do autor do fluxo de trabalho ou da ação.

Recomendações

Para versões anteriores à v1.9.1, atualize para @actions/core v1.9.1.

Se você não conseguir atualizar o pacote @actions/core, modifique sua ação para garantir que nenhuma entrada do usuário contenha o delimitador GitHubActionsFileCommandDelimeter antes de chamar core.exportVariable.

Exploit

Correção

Special Elements Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-77

Identificadores relacionados

CVE-2022-35954

GHSA-7R3H-M5J6-3Q42

Produtos afetados

@Actions/Core

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/35xxx/CVE-2022-35954.json · Exploit
• https://github.com/actions/toolkit/commit/4beda9cbc00ba6eefe387a937c21087ccb8ee9df · Correção
• https://github.com/actions/toolkit/security/advisories/GHSA-7r3h-m5j6-3q42 · Nota
• https://github.com/actions/toolkit · Nota
• https://osv.dev/vulnerability/GHSA-7r3h-m5j6-3q42 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-35954 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-35954 · Aviso do Fabricante
• https://t.me/defcon_news/107909 · Publicação no Telegram
• https://t.me/cibsecurity/48140 · Publicação no Telegram