nvd,anchore_overrides,bdu
Stepsecurity
Уязвимости
6
Эксплуатируемые
0
Критический
0
Высокий
0
Топ продуктов
Топ уязвимостей
CVE-2026-25598Harden-Runner - это агент безопасности CI/CD, который работает как EDR для бегунов GitHub Actions. До 2.14.2 в Harden-Runner GitHub Action (Community Tier) была выявлена уязвимость в области безопасности, которая позволяет исходячему сетевому соединениям уклоняться от аудита. В частности, исходящие трафик с использованием вызовов системы отправки, отправки и отправки системы розеток могут обойти обнаружение и журналирование при использовании политики выхода: аудит. Эта уязвимость исправлена в 2.14.2.
CVE-2025-32955Уязвимость Harden-Runner, агента безопасности CI/CD, который работает как EDR для GitHub Actions runners, версий от 0.12.0 до 2.12.0, позволяет обойти защиту `disable-sudo` [1].
Злоумышленник, имеющий возможность запускать вредоносный код на раннере с конфигурацией disable-sudo: true, может повысить привилегии до root, используя Docker.
Рекомендуемые меры по устранению: обновление до версии 2.12.0 и переход на политику `disable-sudo-and-containers`.
Источники:
- [1] https://github.com/step-security/harden-runner/security/advisories/GHSA-mxr3-8whj-j74r
- [2] https://github.com/step-security/harden-runner/commit/0634a2670c59f64b4a01f0f96f84700a4088b9f0
- [3] https://github.com/step-security/harden-runner/releases/tag/v2.12.0
BDU:2026-00302Уязвимость агента безопасности CI/CD Harden-Runner связана с некорректным присвоением привилегий. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии
CVE-2026-32947Harden-Runner - агент безопасности CI/CD, который работает как EDR для бегунов GitHub Actions. В версиях 2.15.1 и ниже уязвимость DNS over HTTPS (DoH) позволяет злоумышленникам обходить р-степ-политику: блокировать ограничения сети путем туннелирования эксфильтрованных данных через разрешенные конечные точки HTTPS, такие как dns.google. Атака работает путем кодирования конфиденциальных данных (например, имени хоста бегуна) в качестве поддоменов в запросах DoH, которые отображаются как законный HTTPS-трафик на доменную фильтрацию Harden-Runner, но в конечном итоге перенаправляют в домен, контролируемый злоумышленником. Это эффективно позволяет эксфильтровать данные без прямого подключения к любому заблокированному пункту назначения. Эксплуатация требует, чтобы злоумышленник уже выполнял код в рабочем процессе GitHub Actions. Выпуск был исправлен в версии 2.16.0.
CVE-2026-32946Harden-Runner - агент безопасности CI/CD, который работает как EDR для бегунов GitHub Actions. В версиях 2.15.1 и ниже Harden-Runner, который позволяет обойти политику эстресса: ограничение сети блокировки с использованием DNS-запросов по TCP. Политики эмигранта применяются на бегунах GitHub путем фильтрации исходящих соединений на сетевом уровне. При выходе-политика: блок включен с ограничительным списком разрешенных конечных точек (например, только github.com:443), все несоответствие трафику должно быть отказано. Тем не менее, DNS-запросы по TCP, обычно используемые для больших ответов или резерва из UDP, не ограничены должным образом. Такие инструменты, как копание, могут явно инициировать DNS-запросы на основе TCP (+tcp флаг) без блокировки. Эта уязвимость требует, чтобы злоумышленник уже располагал возможностями выполнения кода в рабочем процессе GitHub. Выпуск исправлен в версии 2.16.0.
CVE-2024-52587Harden-Runner от StepSecurity обеспечивает фильтрацию исходящего сетевого трафика и безопасность во время выполнения для размещенных на GitHub и самостоятельно размещенных средств запуска. Версии step-security/harden-runner до v2.10.2 содержат несколько недостатков внедрения команд через переменные среды, которые потенциально могут быть использованы при определенных условиях. Однако из-за текущего порядка выполнения предварительных шагов в GitHub Actions и размещения harden-runner в качестве первого шага в задании вероятность эксплуатации невелика, поскольку действие Harden-Runner считывает переменную среды на этапе предварительного шага. В настоящее время нет известных эксплойтов. Версия 2.10.2 содержит исправление.