CVE-2022-39321

GitHub Actions Runner, bir GitHub Actions iş akışındaki görevi çalıştıran uygulamadır. Actions runner; görev konteynerlerini, servis konteynerlerini veya konteyner eylemlerini çalıştırmak için docker cli'yı doğrudan çağırır. Ortamın bu docker komutlarına nasıl kodlandığına dair mantıktaki bir hata; 2.296.2, 2.293.1, 2.289.4, 2.285.2 ve 2.283.4 öncesindeki sürümlerde tespit edilmiştir ve bir girdinin ortam değişkeninden kaçarak söz konusu docker komutu çağrısını doğrudan değiştirmesine olanak tanımaktadır. Ortam değişkenlerinde güvenilmeyen kullanıcı girdileriyle birlikte konteyner eylemleri, görev konteynerleri veya servis konteynerleri kullanan görevler savunmasız olabilir. Actions Runner, hem `github.com` üzerinde hem de GHES ve GHAE müşterileri için 2.296.2, 2.293.1, 2.289.4, 2.285.2 ve 2.283.4 sürümlerindeki sıcak yamalarla düzeltilmiştir. GHES ve GHAE müşterileri, runner'larının otomatik olarak bu yeni runner sürümlerine yükseltilmesi için örneklerini yamalamak isteyebilirler. Geçici bir çözüm olarak kullanıcılar, runner sürümlerini yükseltebilene kadar görevlerinden tüm konteyner eylemlerini, görev konteynerlerini veya servis konteynerlerini kaldırmayı düşünebilirler.