PT-2025-5344 · Github · Codeql Cli+1
Jstawinski
·
Publicado
2025-01-24
·
Atualizado
2025-04-10
·
CVE-2025-24362
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do CodeQL Action anteriores à 3.28.3
Versões do CodeQL CLI anteriores à 2.20.3
Descrição
Em determinadas circunstâncias, artefatos de depuração enviados pelo CodeQL Action após uma execução falha do fluxo de trabalho de varredura de código podem conter variáveis de ambiente da execução do fluxo de trabalho, incluindo segredos. Usuários com acesso de leitura ao repositório podem acessar este artefato, potencialmente expondo segredos. O problema é específico para execuções de fluxo de trabalho que atendem a condições como varredura das linguagens Java/Kotlin, execução em um repositório com código-fonte Kotlin e uso de versões específicas do CodeQL Action e CLI. As variáveis de ambiente expostas podem incluir um
GITHUB TOKEN válido, que possui acesso ao repositório e permissões especificadas. O GITHUB TOKEN é válido até que o job seja concluído ou até que 24 horas tenham transcorrido.Recomendações
Para versões do CodeQL Action anteriores à 3.28.3, atualize para a versão 3.28.3 ou posterior para resolver o problema.
Para versões do CodeQL CLI anteriores à 2.20.3, atualize para a versão 2.20.3 ou posterior para resolver o problema.
Como medida temporária de contorno, considere desativar artefatos de depuração no CodeQL Action para minimizar o risco de exposição de variáveis de ambiente.
Restrinja o acesso ao repositório para minimizar o risco de acesso não autorizado caso o
GITHUB TOKEN seja exposto.Exploit
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Codeql Action
Codeql Cli