Vulnerabilidad en github-action-merge-dependabot (CVE-2022-29220)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-345 Verificación insuficiente de autenticidad de los datos

Fecha de publicación:

31/05/2022

Última modificación:

15/06/2022

Descripción

github-action-merge-dependabot es una acción que aprueba y fusiona automáticamente las peticiones de pull (PR) de dependabot. En versiones anteriores a 3.2.0, github-action-merge-dependabot no comprueba si un commit creado por dependabot está verificado con la clave GPG adecuada. Sólo se presenta comprobación si el actor es establecido como "dependabot[bot]" para determinar si el PR es un PR legítimo. Teóricamente, un propietario de una acción aparentemente válida y legítima en la tubería puede comprobar si el PR es creado por dependabot y si su propia acción presenta suficientes permisos para modificar el PR en la tubería. Si es así, pueden modificar el PR añadiendo un segundo commit aparentemente válido y legítimo al PR, ya que pueden establecer arbitrariamente el nombre de usuario y el correo electrónico en los commits en git. Dado que el bot sólo comprueba si el actor es válido, pasaría los cambios maliciosos y fusionaría el PR automáticamente, sin que los mantenedores del proyecto dieran cuenta. Probablemente no sería posible determinar de dónde proviene el commit malicioso, ya que sólo diría "dependabot[bot]" y la dirección de correo electrónico correspondiente. La versión 3.2.0 contiene un parche para este problema

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno