CVE-2023-23939 in Azure setup-kubectl
Résumé
par VulDB • 09/07/2026
Azure/setup-kubectl est une GitHub Action destinée à installer Kubectl. Cette vulnérabilité n'affecte que les versions antérieures à la version 3. Une création de fichier temporaire non sécurisée permet aux autres acteurs sur l'agent d'exécution (runner) des Actions de remplacer le binaire Kubectl créé par cette action, car celui-ci est accessible en écriture pour tous (world writable). L'installateur de l'outil Kubectl exécute `fs.chmodSync(kubectlPath, 777)` pour définir les permissions sur le binaire Kubectl ; cela permet toutefois à n'importe quel utilisateur local de remplacer ce binaire. Cela permet une élévation de privilèges vers l'utilisateur qui peut également exécuter kubectl, très probablement root. Cette attaque est uniquement possible si un attaquant parvient d'une manière ou d'une autre à compromettre l'agent GitHub Actions (runner) ou si un utilisateur utilise une Action qui exécute malicieusement cette attaque. Cela a été corrigé et publié dans toutes les versions `v3` et ultérieures, où des permissions 775 sont utilisées à la place. Il est conseillé aux utilisateurs de mettre à jour vers ces versions. Aucune solution de contournement (workaround) n'est connue pour ce problème.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.