act: अप्रतिबंधित सेट-env (set-env) और ऐड-पाथ (add-path) कमांड प्रोसेसिंग वातावरण इंजेक्शन (environment injection) को सक्षम करता है

CVE-2026-34041, act नामक उत्पाद में एक गंभीर भेद्यता है जो पर्यावरण इंजेक्शन (environment injection) की अनुमति देती है। यह भेद्यता तब उत्पन्न होती है जब act असुरक्षित रूप से set-env और add-path कमांड को संसाधित करता है। एक हमलावर, जो act का उपयोग करता है, दुर्भावनापूर्ण वातावरण चर (environment variables) सेट करके या पथ में अनधिकृत निर्देशिकाएँ जोड़कर, कार्य निष्पादन के प्रवाह को नियंत्रित कर सकता है। इसका परिणाम संवेदनशील डेटा का प्रकटीकरण, अनधिकृत सिस्टम एक्सेस, या यहां तक कि रिमोट कोड निष्पादन (RCE) भी हो सकता है। उदाहरण के लिए, एक हमलावर एक दुर्भावनापूर्ण स्क्रिप्ट को PATH में जोड़ सकता है, जिससे बाद में निष्पादित होने वाले किसी भी कार्य के लिए यह डिफ़ॉल्ट रूप से निष्पादित हो जाएगी। यह विशेष रूप से उन वातावरणों में चिंताजनक है जहाँ act का उपयोग CI/CD पाइपलाइनों में किया जाता है, क्योंकि एक समझौता किया गया कार्य पूरे सिस्टम को खतरे में डाल सकता है। प्रभावित सिस्टम की सुरक्षा और डेटा की अखंडता को बनाए रखने के लिए इस भेद्यता को तुरंत संबोधित करना महत्वपूर्ण है। इस भेद्यता का 'ब्लास्ट रेडियस' (blast radius) उस सिस्टम तक सीमित हो सकता है जहाँ act चल रहा है, लेकिन यदि act का उपयोग संवेदनशील संसाधनों तक पहुंचने के लिए किया जाता है, तो प्रभाव व्यापक हो सकता है।

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. This includes development teams using act to accelerate their workflows and those who store sensitive information as environment variables within their GitHub repositories. Shared hosting environments utilizing act also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server: Monitor GitHub Actions workflow logs for suspicious set-env or add-path commands. Use journalctl to filter for act-related processes and look for unusual environment variable modifications.

journalctl -u act -g 'set-env' --grep 'env=' | less

• generic web: Examine GitHub Actions workflow definitions for any insecure usage of set-env or add-path. Review repository access controls to ensure only authorized users can modify workflows.

1. 2026-04-02Disclosure

   Public Disclosure

1. आरक्षित2026-03-25
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-07

CVE-2026-34041 को ठीक करने का सबसे प्रभावी तरीका act को संस्करण 0.2.86 या उसके बाद के संस्करण में अपग्रेड करना है। यह संस्करण भेद्यता को संबोधित करने के लिए आवश्यक सुरक्षा पैच शामिल करता है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, set-env और add-path कमांड के उपयोग को सीमित करने या सख्त एक्सेस नियंत्रण लागू करने पर विचार करें। सुनिश्चित करें कि केवल विश्वसनीय स्रोतों से ही वातावरण चर सेट किए जा रहे हैं। अपग्रेड करने के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता सफलतापूर्वक ठीक हो गई है। आप act के नवीनतम संस्करण के साथ एक परीक्षण कार्य चलाकर ऐसा कर सकते हैं और यह सुनिश्चित कर सकते हैं कि कोई अनपेक्षित व्यवहार नहीं है। यह भी सुनिश्चित करें कि आपके सभी act इंस्टेंस अपग्रेड किए गए हैं और सुरक्षित कॉन्फ़िगरेशन का उपयोग कर रहे हैं। अपग्रेड प्रक्रिया को सावधानीपूर्वक योजनाबद्ध और कार्यान्वित किया जाना चाहिए ताकि सिस्टम में व्यवधान को कम किया जा सके।