Vulnerabilidad en las funciones "addPath" y "exportVariable" en Actions Runner en stdout en el módulo npm "@actions/core" (CVE-2020-15228)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-77 Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)

Fecha de publicación:

01/10/2020

Última modificación:

18/11/2021

Descripción

En el módulo npm "@actions/core" versiones anteriores a 1.2.6, las funciones "addPath" y "exportVariable" se comunican con Actions Runner a través de stdout al generar una cadena en un formato específico.&#xa0;Los flujos de trabajo que registran datos no confiables en stdout pueden invocar estos comandos, resultando que la ruta o las variables de entorno sean modificadas sin la intención del flujo de trabajo o el autor de la acción.&#xa0;El corredor lanzará una actualización que deshabilita los comandos de flujo de trabajo "set-env" y "add-path" en un futuro cercano.&#xa0;Por ahora, los usuarios deben actualizar a "@actions/core v1.2.6" o posterior, y reemplazar cualquier instancia de los comandos "set-env" o "add-path" en sus flujos de trabajo con la nueva sintaxis de archivo de entorno.&#xa0;Los flujos de trabajo y las acciones que utilizan los comandos antiguos o las versiones antiguas del kit de herramientas comenzarán a advertir y luego aparecerán errores durante la ejecución del flujo de trabajo

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.00

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno