CVE-2026-32946 in harden-runner
Сводка
по VulDB • 15.06.2026
Harden-Runner — это агент безопасности CI/CD, работающий как EDR для исполнителей (runners) в GitHub Actions. В версиях 2.15.1 и более ранних Harden-Runner позволяет обойти ограничение сети egress-policy: block с помощью DNS-запросов по протоколу TCP. Политики исходящего трафика (egress policies) применяются к исполнителям GitHub путем фильтрации исходящих соединений на сетевом уровне. При включении параметра egress-policy: block со списком разрешенных конечных точек, имеющим строгие ограничения (например, только github.com:443), весь несанкционированный трафик должен блокироваться. Однако DNS-запросы по протоколу TCP, которые обычно используются для получения больших ответов или в качестве резервного варианта при сбое UDP, не ограничиваются должным образом. Такие инструменты, как dig, могут явно инициировать DNS-запросы на основе TCP (с флагом +tcp) без блокировки. Для эксплуатации этой уязвимости злоумышленник уже должен обладать возможностями выполнения кода в рамках рабочего процесса GitHub Actions. Проблема исправлена в версии 2.16.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.