act : le traitement non restreint des commandes set-env et add-path permet l’injection d’environnement

La vulnérabilité CVE-2026-34041 dans act permet une injection de variables d'environnement en raison du traitement non restreint des commandes set-env et add-path. Un attaquant capable d'influencer les valeurs passées à ces commandes peut potentiellement exécuter des commandes arbitraires sur le système où act est en cours d'exécution. Par exemple, un attaquant pourrait injecter une variable d'environnement PATH modifiée pour rediriger l'exécution de commandes critiques vers un script malveillant contrôlé par l'attaquant. Cela pourrait permettre l'exfiltration de données sensibles, la modification de fichiers de configuration, ou même l'obtention d'un accès persistant au système. Le rayon d'impact est potentiellement élevé, car l'attaquant pourrait compromettre l'ensemble de l'environnement d'exécution d'act, y compris les actions de CI/CD. La gravité de cette vulnérabilité est classée comme élevée (CVSS score de 7.5) en raison de la possibilité d'exécution de code arbitraire et de l'impact potentiel sur la sécurité des pipelines d'intégration continue et de livraison continue. L'exploitation réussie pourrait mener à une compromission complète du système d'intégration continue, affectant potentiellement tous les projets utilisant act.

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. This includes development teams using act to accelerate their workflows and those who store sensitive information as environment variables within their GitHub repositories. Shared hosting environments utilizing act also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server: Monitor GitHub Actions workflow logs for suspicious set-env or add-path commands. Use journalctl to filter for act-related processes and look for unusual environment variable modifications.

journalctl -u act -g 'set-env' --grep 'env=' | less

• generic web: Examine GitHub Actions workflow definitions for any insecure usage of set-env or add-path. Review repository access controls to ensure only authorized users can modify workflows.

1. 2026-04-02Disclosure

   Public Disclosure

1. Réservé2026-03-25
2. Publiée2026-04-02
3. EPSS mis à jour2026-04-07

La solution recommandée pour corriger CVE-2026-34041 est de mettre à jour act vers la version 0.2.86 ou supérieure. Cette version inclut une correction qui restreint le traitement des commandes set-env et add-path, empêchant ainsi l'injection de variables d'environnement. Si la mise à jour n'est pas immédiatement possible, une mesure d'atténuation temporaire consiste à examiner et à valider rigoureusement toutes les valeurs passées aux commandes set-env et add-path. Il est crucial de s'assurer que ces valeurs proviennent de sources fiables et ne contiennent pas de caractères ou de commandes malveillantes. Après la mise à jour, il est fortement conseillé de vérifier que les pipelines d'intégration continue fonctionnent comme prévu et qu'aucune anomalie n'est détectée. Une analyse des journaux d'activité peut aider à identifier toute tentative d'exploitation de la vulnérabilité avant la correction.