CVE-2022-39321

GitHub Actions Runner, GitHub Actions iş axınından gələn tapşırığı icra edən tətbiqdir. Actions runner, tapşırıq konteynerlərini, xidmət konteynerlərini və ya konteyner hərəkətlərini (container actions) işə salmaq üçün birbaşa docker cli-ni çağırır. Mühitin bu docker əmrlərinə necə kodlaşdırıldığına dair məntiqdə olan bir xəta 2.296.2, 2.293.1, 2.289.4, 2.285.2 və 2.283.4 versiyalarından əvvəlki versiyalarda aşkar edilmişdir ki, bu da giriş məlumatlarının mühit dəyişənindən çıxaraq həmin docker əmrinin çağırılmasını birbaşa dəyişdirməsinə imkan verir. Mühit dəyişənlərində etibarsız istifadəçi girişləri ilə birlikdə konteyner hərəkətləri, tapşırıq konteynerləri və ya xidmət konteynerlərindən istifadə edən tapşırıqlar zəifliyə məruz qala bilər. Actions Runner həm `github.com`-da, həm də GHES və GHAE müştəriləri üçün 2.296.2, 2.293.1, 2.289.4, 2.285.2 və 2.283.4 versiyalarında tətbiq edilən təcili düzəlişlərlə (hotfix) yenilənmişdir. GHES və GHAE müştəriləri, runner-lərinin avtomatik olaraq bu yeni versiyalara yüksəlməsi üçün öz instansiyalarını yeniləyə bilərlər. Müvəqqəti həll yolu kimi, istifadəçilər runner versiyalarını yüksəldənə qədər tapşırıqlarından bütün konteyner hərəkətlərini, tapşırıq konteynerlərini və ya xidmət konteynerlərini çıxarmağı nəzərdən keçirə bilərlər.