CVE-2025-24362

Bəzi hallarda, uğursuz kod skanlaşdırma iş axını icrasından sonra CodeQL Action tərəfindən yüklənən sazlama artefaktları iş axını icrasının mühit dəyişənlərini, o cümlədən iş axınına mühit dəyişənləri kimi məruz qalmış istənilən sirrləri ehtiva edə bilər. Repozitoriyaya oxuma girişi olan istifadəçilər mühitdən istənilən sirrləri ehtiva edən bu artefakta çıxış əldə edə bilərdilər. Bu zəiflik CodeQL Action 3.28.3 və ya daha sonrakı versiyasında, yaxud CodeQL CLI 2.20.3 və ya daha sonrakı versiyasında düzəldilmişdir. Bəzi təsirlənmiş iş axını icraları üçün sazlama artefaktlarında məruz qalmış mühit dəyişənlərinə iş axınının icra olunduğu repozitoriyaya və iş axınında və ya işdə göstərilən bütün icazələrə çıxışı olan etibarlı `GITHUB_TOKEN` daxil idi. `GITHUB_TOKEN` iş tamamlanana qədər və ya 24 saat keçənə qədər, hansı daha əvvəl baş verərsə, etibarlıdır. Mühit dəyişənləri yalnız aşağıdakı şərtlərin hamısını ödəyən iş axını icralarından məruz qalır: - Java/Kotlin dillərini skanlamaq üçün konfiqurasiya edilmiş kod skanlaşdırma iş axını. - Kotlin mənbə kodu olan repozitoriyada işləyir. - Sazlama artefaktları aktivləşdirilmiş şəkildə işləyir. - CodeQL Action versiyaları <= 3.28.2 və CodeQL CLI versiyaları >= 2.9.2 (May 2022) və <= 2.20.2 istifadə edir. - İş axını icrası `github/codeql-action/analyze` addımı daxilində CodeQL verilənlər bazası yekunlaşdırılmazdan əvvəl uğursuz olur. - İstənilən GitHub mühitində işləyir: GitHub.com, GitHub Enterprise Cloud və GitHub Enterprise Server. Qeyd: artefaktlara yalnız skanlanmış repozitoriyaya çıxışı olan eyni GitHub mühitindəki istifadəçilər çıxış əldə edə bilər. Bu şəkildə məruz qalmış `GITHUB_TOKEN` yalnız yuxarıdakı şərtlərə əlavə olaraq aşağıdakı şərtlərin hamısını ödəyən iş axını icraları üçün etibarlı olardı: - CodeQL Action versiyaları >= 3.26.11 (Oktyabr 2024) və <= 3.28.2, yaxud >= 2.26.11 və < 3 istifadə edir. - Yalnız GitHub.com və ya GitHub Enterprise Cloud-da işləyir (GitHub Enterprise Server-də etibarlı deyil). Genişləndirilmiş quraşdırma zamanı nadir hallarda mühit dəyişənlərinin jurnala yazılması Java, Swift və C/C++ verilənlər bazasının yaradılması zamanı da baş verə bilər. Ətraflı məlumat üçün müvafiq CodeQL CLI xəbərdarlığını GHSA-gqh3-9prg-j95m oxuyun. CodeQL CLI versiyaları >= 2.9.2 və <= 2.20.2-də CodeQL Kotlin çıxarıcısı Kotlin kodu üçün CodeQL verilənlər bazasının yaradılması prosesi zamanı bütün mühit dəyişənlərini standart olaraq aralıq fayla jurnala yazır. Bu, CodeQL CLI-nin bir hissəsidir və Kotlin repozitoriyalarının təhlili üçün CodeQL Action tərəfindən çağırılır. Actions-da jurnala yazılan mühit dəyişənlərinə skanlanan repozitoriyaya icazələr verən GITHUB_TOKEN daxildir. Mühit dəyişənlərini ehtiva edən aralıq fayl verilənlər bazası yekunlaşdırılarkən silinir, buna görə də uğurla yaradılmış verilənlər bazasına daxil edilmir. Lakin CodeQL Action sazlama rejimində çağırıldığı halda uğursuz təhlil icrasında yüklənən sazlama artefaktına daxil edilir. Buna görə də, bu xüsusi şərtlər altında (sazlama rejimində CodeQL Action istifadə edilərək natamam verilənlər bazası yaradılması) sazlama artefaktına çıxışı olan təcavüzkar mühitdən repozitoriya sirrlərinə, o cümlədən həm `GITHUB_TOKEN`-a, həm də mühit dəyişənləri vasitəsilə əlçatan edilmiş istənilən istifadəçi konfiqurasiyalı sirrlərə icazəsiz çıxış əldə edərdi. Bu mühitdə sızan `GITHUB_TOKEN`-ın təsiri məhduddur: - GitHub.com və GitHub Enterprise Cloud-da CodeQL Action versiyaları >= 3.26.11 və <= 3.28.2, yaxud >= 2.26.11 və < 3 istifadə edən və öz növbəsində `actions/artifacts v4` kitabxanasından istifadə edən iş axınları üçün sazlama artefaktı iş axını işi tamamlanmazdan əvvəl yüklənir. Bu müddət ərzində `GITHUB_TOKEN` hələ də etibarlıdır və təcavüzkarlara repozitoriyaya çıxış əldə etmək imkanı verir. - Bütün digər iş axınları üçün sazlama artefaktı iş axını işi tamamlandıqdan sonra yüklənir, bu zaman sızmış `GITHUB_TOKEN` ləğv edilmiş olur və repozitoriyaya çıxış üçün istifadə edilə bilməz.