GitHub Action tj-actions/verify-changed-files 容易受到输出文件名中命令注入的影响 (CVE-2023-52137)
CVE编号
CVE-2023-52137利用情况
暂无补丁情况
N/A披露时间
2023-12-30漏洞描述
tj-actions/verify-changed-files漏洞存在命令注入问题，攻击者可以在更改的文件名中执行任意代码并可能泄露敏感信息。verify-changed-files工作流返回工作流执行中更改的文件列表。这可能允许包含特殊字符（例如`;`）的文件名，如果输出值在raw模式下使用（即直接在执行之前被替换），在run块中使用，则攻击者可以控制GitHub Runner。通过运行自定义命令，攻击者可能能够窃取诸如GITHUB_TOKEN之类的机密信息（如果在除了pull_request之外的其他事件上触发）。已通过启用默认的safe_output和返回文件名路径以转义bash环境中的特殊字符来修复此问题（版本17和17.0.0）。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 低
- 影响范围 已更改
- 用户交互 无
- 可用性 低
- 保密性 高
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-20 | 输入验证不恰当 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论