CVE-2026-32946 in harden-runner
Riassunto
di VulDB • 15/06/2026
Harden-Runner è un agente di sicurezza CI/CD che funziona come un EDR per i runner di GitHub Actions. Nelle versioni 2.15.1 e precedenti, Harden-Runner consente il bypass della restrizione di blocco delle policy di uscita (egress-policy: block) tramite query DNS su TCP. Le policy di uscita vengono applicate ai runner di GitHub filtrando le connessioni in uscita a livello di rete. Quando è abilitata la direttiva `egress-policy: block` con un elenco ristretto di endpoint consentiti (ad esempio, solo github.com:443), tutto il traffico non conforme dovrebbe essere negato. Tuttavia, le query DNS su TCP, comunemente utilizzate per risposte di grandi dimensioni o come fallback rispetto a UDP, non sono adeguatamente limitate. Strumenti come `dig` possono avviare esplicitamente query DNS basate su TCP (tramite flag +tcp) senza essere bloccati. Questa vulnerabilità richiede che l'attaccante abbia già capacità di esecuzione del codice all'interno della workflow di GitHub Actions. Il problema è stato risolto nella versione 2.16.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.