PT-2022-24901 · Github · Kartverket/Github-Workflows

Eliihen · Publicado 2022-10-19 · Atualizado 2022-10-28 · CVE-2022-39326

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do kartverket/github-workflows anteriores à 2.7.5

Descrição

O problema é uma vulnerabilidade de injeção de código que afeta todos os usuários do fluxo de trabalho reutilizável run-terraform do repositório kartverket/github-workflows. Um agente mal-intencionado poderia enviar um PR com uma carga maliciosa, levando à execução de código JavaScript arbitrário no contexto do fluxo de trabalho.

Recomendações

Para versões anteriores à 2.7.5, atualize para pelo menos a versão 2.7.5 para resolver o problema.

Como solução alternativa temporária, verifique se há cargas maliciosas em quaisquer pull requests de usuários externos antes de permitir que eles acionem uma compilação.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2022-39326

GHSA-F9QJ-7GH3-MHJ4

Produtos afetados

Kartverket/Github-Workflows

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39326.json · Exploit
• https://github.com/kartverket/github-workflows/security/advisories/GHSA-f9qj-7gh3-mhj4 · Nota
• https://github.com/kartverket/github-workflows/pull/19 · Correção
• https://github.com/kartverket/github-workflows/releases/tag/v2.7.5 · Correção
• https://github.com/kartverket/github-workflows · Nota
• https://osv.dev/vulnerability/GHSA-f9qj-7gh3-mhj4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39326 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39326 · Aviso do Fabricante
• https://t.me/cibsecurity/52041 · Publicação no Telegram