Vulnerabilidad en el archivo "GITHUB_ENV" en GitHub Actions ToolKit (CVE-2022-35954)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)

Fecha de publicación:

15/08/2022

Última modificación:

16/08/2022

Descripción

El GitHub Actions ToolKit proporciona un conjunto de paquetes para facilitar la creación de acciones. La función "core.exportVariable" usa un delimitador bien conocido que atacantes pueden usar para salir de esa variable específica y asignar valores a otras variables arbitrarias. Los flujos de trabajo que escriben valores no confiables en el archivo "GITHUB_ENV" pueden causar que la ruta u otras variables de entorno sean modificadas sin la intención del flujo de trabajo o del autor de la acción. Los usuarios deben actualizar a "@actions/core versión v1.9.1". Si no puede actualizar el paquete "@actions/core", puede modificar su acción para asegurarse de que cualquier entrada del usuario no contenga el delimitador "_GitHubActionsFileCommandDelimeter_" antes de llamar a "core.exportVariable".

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno