Emissary — это механизм рабочего процесса, управляемый данными, на основе P2P. До версии 8.39.0 файлы рабочих процессов GitHub Actions содержали точки внедрения оболочки, где управляемые пользователем входные данные workflow_dispatch интерполировались непосредственно в команды оболочки с помощью синтаксиса выражений ${{ }}. Злоумышленник, имеющий доступ на запись в репозиторий, может внедрить произвольные команды оболочки, что приведет к отравлению репозитория и компрометации цепочки поставок, затрагивающей всех последующих пользователей.
Эта уязвимость исправлена в версии 8.39.0.
Показать оригинальное описание (EN)
Emissary is a P2P based data-driven workflow engine. Prior to 8.39.0, GitHub Actions workflow files contained shell injection points where user-controlled workflow_dispatch inputs were interpolated directly into shell commands via ${{ }} expression syntax. An attacker with repository write access could inject arbitrary shell commands, leading to repository poisoning and supply chain compromise affecting all downstream users. This vulnerability is fixed in 8.39.0.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nsa Emissary
cpe:2.3:a:nsa:emissary:*:*:*:*:*:*:*:*
|
5.10.0
|
<= 8.38.0
|