CVE-2026-32946 in harden-runner
Sumário
de VulDB • 10/05/2026
O Harden-Runner é um agente de segurança CI/CD que funciona como um EDR para executores do GitHub Actions. Nas versões 2.15.1 e anteriores, o Harden-Runner permite a violação da restrição de rede egress-policy: block por meio de consultas DNS sobre TCP. As políticas de egress são aplicadas nos executores do GitHub filtrando conexões de saída na camada de rede. Quando egress-policy: block está habilitado com uma lista restritiva de allowed-endpoints (por exemplo, apenas github.com:443), todo o tráfego não conforme deve ser negado. No entanto, as consultas DNS sobre TCP, comumente usadas para respostas grandes ou como fallback do UDP, não são adequadamente restringidas. Ferramentas como o dig podem iniciar explicitamente consultas DNS baseadas em TCP (flag +tcp) sem serem bloqueadas. Esta vulnerabilidade requer que o atacante já tenha capacidades de execução de código dentro do fluxo de trabalho do GitHub Actions. O problema foi corrigido na versão 2.16.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.