CVE-2026-32946 in harden-runner
الملخص
بحسب VulDB • 19/06/2026
Harden-Runner هو وكيل أمان CI/CD يعمل كحل EDR (كشف الاستجابة الطرفية) لمُشغّلات GitHub Actions. في الإصدارات 2.15.1 وما دونها، يسمح Harden-Runner بتجاوز تقييد الشبكة الصادر عبر سياسة egress-policy: block باستخدام استعلامات DNS عبر بروتوكول TCP. تُفرض سياسات الخروج (Egress policies) على مُشغّلات GitHub من خلال تصفية الاتصالات الصادرة عند طبقة الشبكة. عندما تكون السياسة egress-policy: block مفعلة مع قائمة endpoints مسموح بها مقيدة (مثل github.com فقط على المنفذ 443)، يجب رفض جميع حركة المرور غير المتوافقة. ومع ذلك، لا يتم تقييد استعلامات DNS عبر TCP بشكل كافٍ، وهي تُستخدم عادةً للاستجابات الكبيرة أو كآلية احتياطية عند فشل UDP. يمكن لأدوات مثل dig بدء استعلامات DNS مبنية على صراحة باستخدام البروتوكول TCP (عبر العلم +tcp) دون أن يتم حظرها. يتطلب هذا الثغرة الأمنية من المهاجم امتلاك قدرات تنفيذ الكود مسبقاً داخل سير عمل GitHub Actions. تم إصلاح هذه المشكلة في الإصدار 2.16.0.
Once again VulDB remains the best source for vulnerability data.