Vulnerabilidad en CodeQL Action (CVE-2025-24362)

En algunas circunstancias, los artefactos de depuración cargados por CodeQL Action después de una ejecución de flujo de trabajo de escaneo de código fallida pueden contener las variables de entorno de la ejecución del flujo de trabajo, incluidos los secretos que se expusieron como variables de entorno al flujo de trabajo. Los usuarios con acceso de lectura al repositorio podrían acceder a este artefacto, que contiene los secretos del entorno. Esta vulnerabilidad está parcheada en CodeQL Action versión 3.28.3 o posterior, o CodeQL CLI versión 2.20.3 o posterior. Para algunas ejecuciones de flujo de trabajo afectadas, las variables de entorno expuestas en los artefactos de depuración incluían un `GITHUB_TOKEN` válido para la ejecución del flujo de trabajo, que tiene acceso al repositorio en el que se ejecutó el flujo de trabajo y todos los permisos especificados en el flujo de trabajo o trabajo. El `GITHUB_TOKEN` es válido hasta que se complete el trabajo o transcurran 24 horas, lo que ocurra primero. Las variables de entorno se exponen solo desde ejecuciones de flujo de trabajo que satisfacen todas las siguientes condiciones: - Flujo de trabajo de escaneo de código configurado para escanear los lenguajes Java/Kotlin. - Ejecución en un repositorio que contiene código fuente Kotlin. - Ejecución con artefactos de depuración habilitados. - Uso de versiones de CodeQL Action <= 3.28.2 y versiones de CodeQL CLI >= 2.9.2 (mayo de 2022) y <= 2.20.2. - La ejecución del flujo de trabajo falla antes de que se finalice la base de datos de CodeQL dentro del paso `github/codeql-action/analyze`. - Ejecución en cualquier entorno de GitHub: GitHub.com, GitHub Enterprise Cloud y GitHub Enterprise Server. Nota: los artefactos solo son accesibles para los usuarios dentro del mismo entorno de GitHub con acceso al repositorio escaneado. El `GITHUB_TOKEN` expuesto de esta manera solo habría sido válido para ejecuciones de flujo de trabajo que satisfagan todas las siguientes condiciones, además de las condiciones anteriores: - Usar versiones de CodeQL Action >= 3.26.11 (octubre de 2024) y <= 3.28.2, o >= 2.26.11 y < 3. - Ejecutarse solo en GitHub.com o GitHub Enterprise Cloud (no válido en GitHub Enterprise Server). En casos excepcionales durante la configuración avanzada, también puede ocurrir el registro de variables de entorno durante la creación de bases de datos de Java, Swift y C/C++. Lea el aviso correspondiente de CodeQL CLI GHSA-gqh3-9prg-j95m para obtener más detalles. En las versiones de CodeQL CLI >= 2.9.2 y <= 2.20.2, el extractor CodeQL Kotlin registra todas las variables de entorno de forma predeterminada en un archivo intermedio durante el proceso de creación de una base de datos CodeQL para el código Kotlin. Esta es una parte de la CLI de CodeQL y la invoca la Acción de CodeQL para analizar los repositorios de Kotlin. En las Acciones, las variables de entorno registradas incluyen GITHUB_TOKEN, que otorga permisos al repositorio que se está escaneando. El archivo intermedio que contiene las variables de entorno se elimina al finalizar la base de datos, por lo que no se incluye en una base de datos creada correctamente. Sin embargo, se incluye en el artefacto de depuración que se carga en una ejecución de análisis fallida si la Acción de CodeQL se invocó en modo de depuración. Por lo tanto, en estas circunstancias específicas (creación de base de datos incompleta utilizando la Acción de CodeQL en modo de depuración), un atacante con acceso al artefacto de depuración obtendría acceso no autorizado a los secretos del repositorio del entorno, incluido tanto el `GITHUB_TOKEN` como cualquier secreto configurado por el usuario que se haya puesto a disposición a través de las variables de entorno. El impacto del `GITHUB_TOKEN` filtrado en este entorno es limitado: --- truncado ---