CVE-2026-73802

Nome do Software Vulnerável e Versões Afetadas act runner (versões afetadas não especificadas)

Description O act runner anexa as jobs.<job>.container.options controladas pelo fluxo de trabalho diretamente ao HostConfig do Docker para o contêiner do trabalho. Quando o modo privilegiado é desativado, o sistema apenas força o campo Privileged para falso, preservando flags de namespace do host, expansão de capacidades e substituições de perfil de segurança do YAML do fluxo de trabalho. Isso permite que o autor de um fluxo de trabalho entre nos namespaces PID e IPC do host e execute comandos arbitrários como root no host do executor. Isso pode levar à exposição de segredos do host do executor, credenciais de implantação e variáveis de ambiente, além de permitir que o invasor migre para trabalhos adjacentes ou acesse a infraestrutura de compilação interna.

Detalhes técnicos incluem um caminho de fonte para destino onde ContainerSpec.Options aceita container.options do YAML, que é então processado por RunContext.options() e mergeContainerConfigs(). A função sanitizeConfig() filtra apenas Binds e Mounts, mantendo intactos campos perigosos como PidMode=host, IpcMode=host, CapAdd=["ALL"] e SecurityOpt=["seccomp=unconfined","apparmor=unconfined"].

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Como medida de mitigação temporária, trate container.options como entrada não confiável e restrinja ou remova as seguintes opções quando o modo privilegiado estiver desativado: