Vulnerabilidad en GitHub Actions Runner (CVE-2022-39321)

GitHub Actions Runner es la aplicación que ejecuta un trabajo desde un flujo de trabajo de GitHub Actions. El ejecutor de acciones invoca directamente el cli de la ventana acoplable para ejecutar contenedores de trabajo, contenedores de servicio o acciones de contenedor. En versiones anteriores a 2.296.2, 2.293.1, 2.289.4, 2.285.2 y 2.283.4, ha sido detectado un error en la lógica de cómo es codificado el entorno en estos comandos docker que permite que una entrada escape a la variable de entorno y modifique la invocación de ese comando docker directamente. Los trabajos que usan acciones de contenedor, contenedores de trabajo o contenedores de servicio junto con entradas de usuario no confiables en las variables de entorno pueden ser vulnerables. El Actions Runner ha sido parcheado, tanto en "github.com" como en hotfixes para los clientes de GHES y GHAE en versiones 2.296.2, 2.293.1, 2.289.4, 2.285.2 y 2.283.4. Los clientes de GHES y GHAE pueden querer parchear su instancia para que sus ejecutores actualicen automáticamente a estas nuevas versiones de ejecutores. Como mitigación, los usuarios pueden considerar la eliminación de cualquier acción de contenedor, contenedor de trabajo o contenedor de servicio de sus trabajos hasta que puedan actualizar las versiones de sus ejecutores