Vulnerabilidad en Egress Policy (CVE-2026-32946)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-693 Fallo del mecanismo de protección

Fecha de publicación:

20/03/2026

Última modificación:

24/03/2026

Descripción

Harden-Runner es un agente de seguridad de CI/CD que funciona como un EDR para los runners de GitHub Actions. En las versiones 2.15.1 y anteriores, el Harden-Runner permite eludir la restricción de red &#39;egress-policy: block&#39; utilizando consultas DNS sobre TCP. Las políticas de egreso se aplican en los runners de GitHub filtrando las conexiones salientes en la capa de red. Cuando &#39;egress-policy: block&#39; está habilitado con una lista restrictiva de puntos finales permitidos (por ejemplo, solo github.com:443), todo el tráfico no conforme debería ser denegado. Sin embargo, las consultas DNS sobre TCP, comúnmente utilizadas para respuestas grandes o como alternativa a UDP, no están restringidas adecuadamente. Herramientas como dig pueden iniciar explícitamente consultas DNS basadas en TCP (bandera +tcp) sin ser bloqueadas. Esta vulnerabilidad requiere que el atacante ya tenga capacidades de ejecución de código dentro del flujo de trabajo de GitHub Actions. El problema ha sido solucionado en la versión 2.16.0.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 4.60 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Alto
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

4.60

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 2.70 BAJA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno