Mesa: L'extraction de code non fiable dans le workflow `benchmarks.yml` peut entraîner une exécution de code dans un runner privilégié

Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire dans le contexte du runner privilégié utilisé par Mesa. Cela signifie qu'un attaquant pourrait potentiellement compromettre l'ensemble du système sur lequel Mesa est exécuté, en obtenant un accès non autorisé aux données sensibles et aux ressources système. L'attaquant pourrait également utiliser cette vulnérabilité pour lancer d'autres attaques, telles que l'installation de logiciels malveillants ou le vol de données confidentielles. Le risque est particulièrement élevé si le runner privilégié a accès à des informations sensibles ou à des systèmes critiques.

Organizations and individuals utilizing Mesa for agent-based modeling, particularly those running simulations in environments with limited access controls or where the runner environment has elevated privileges. Researchers and developers who have customized the benchmarks.yml workflow are also at increased risk.

• python / supply-chain:

import os
import subprocess

# Check Mesa version
result = subprocess.run(['pip', 'show', 'mesa'], capture_output=True, text=True)
if result.returncode == 0:
    mesa_version = result.stdout.split('Version: ')[1].split('\n')[0]
    if float(mesa_version) <= 3.5:
        print("Mesa version is vulnerable.")
else:
    print("Mesa is not installed.")

• generic web: Check for unusual files or modifications within the Mesa installation directory, particularly related to the benchmarks.yml workflow.

1. 2026-03-06Disclosure

   disclosure

1. Réservé2026-03-03
2. Publiée2026-03-06
3. Modifiée2026-03-09
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Mesa vers une version corrigée (c35b8cd ou ultérieure). Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement le workflow benchmarks.yml ou de restreindre l'accès au runner privilégié. Il est également conseillé de surveiller attentivement les logs du système pour détecter toute activité suspecte. Après la mise à jour, vérifiez que le workflow benchmarks.yml ne peut plus être exploité en tentant un checkout de code non fiable et en surveillant l'exécution de code inattendu.