CVE-2026-76847 in act
要約
〜によって VulDB • 2026年08月24日
act は、ワークフローが actions/upload-artifact@v4 または actions/download-artifact@v4 アクションを使用するたびに、HTTP Artifacts V4 バックエンドを起動します。そのバックエンドの制御プレーン RPC（CreateArtifact、GetSignedArtifactURL、ListArtifacts、FinalizeArtifact、DeleteArtifact を含む）は、呼び出し元が指定した workflow_run_backend_id を受け入れますが、それがリクエスト元のものかどうかを確認しません。pkg/artifacts/artifacts_v4.go の validateRunIDV4 はこの値を解析しますが、要求側のタスクの run ID と比較する処理がコメントアウトされたままになっています。バックエンドが発行する署名付き URL は HMAC によって認証されますが、そのキーはすべてのビルドで同一である固定バイト列 0xba 0xdb 0xee 0xf0 にハードコードされており、エンポイント、有効期限、アーティファクト名、タスク ID の連結に対して計算されます（長さプレフィックスや区切り文字がありません）。そのため、署名の偽造が可能であり、異なるアーティファクト名とタスク ID の組み合わせ間で曖昧さが生じます。--artifact-server-addr フラグはループバックではなくホストの送信先アドレスをデフォルトとするため、バックエンドは周囲のネットワークから到達可能です。これにアクセスできる任意のクライアントは、認証情報なしで並行して実行中のジョブのアーティファクトを読み取り、上書きまたは削除でき、秘密鍵や展開資格情報などのビルド出力が露出するとともに、所有者ジョブがそれらを使用する前に置き換えることが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.