PT-2026-6908
CVE-2026-25598
·
تاريخ النشر
2026-02-07
·
تاريخ التحديث
2026-02-28
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Harden-Runner الأقدم من 2.14.2
الوصف
Harden-Runner هو وكيل أمان CI/CD مصمم للعمل كنظام استجابة للأحداث (EDR) لمُنفِّذي GitHub Actions. تم تحديد مشكلة أمنية في إصدار Tier Community من Harden-Runner تسمح للاتصالات الشبكية الصادرة بالتحايل على سجل التدقيق. وعلى وجه التحديد، يمكن لحركة المرور الصادرة التي تستخدم استدعاءات نظام المقابس
sendto وsendmsg وsendmmsg أن تتجنب الكشف والتسجيل عندما تكون egress-policy محددة بقيمة «audit». ويتطلب هذا الالتفاف أن يكون المهاجم يمتلك بالفعل قدرات تنفيذ التعليمات البرمجية داخل سير عمل GitHub Actions. ولا تؤثر هذه المشكلة على فئة Enterprise. تنجم هذه الثغرة الأمنية عن التغطية غير الكاملة لمراقبة بعض استدعاءات النظام المتعلقة بالمآخذ (sockets)، مما يسمح للمهاجمين بإنشاء قنوات اتصال خفية باستخدام حركة مرور UDP دون توليد أحداث تدقيق.التوصيات
قم بالتحديث إلى الإصدار 2.14.2 أو أحدث من Harden-Runner.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾