act: actions/cache सर्वर दुर्भावनापूर्ण कैश इंजेक्शन (cache injection) की अनुमति देता है

CVE-2026-34042, Docker के संदर्भ में, GitHub पर nektos/act नामक एक क्रिया (action) का उपयोग करने वाले सिस्टम के लिए एक गंभीर जोखिम प्रस्तुत करता है। यह भेद्यता act के भीतर Cache सर्वर में मौजूद है, जो दुर्भावनापूर्ण Cache इंजेक्शन की अनुमति देता है। एक हमलावर, जो GitHub क्रियाओं का उपयोग करता है, एक विशेष रूप से तैयार Cache प्रविष्टि को इंजेक्ट कर सकता है। यह Cache प्रविष्टि बाद में act द्वारा उपयोग किए जाने पर, मनमाने कोड के निष्पादन का कारण बन सकती है। इसका मतलब है कि हमलावर, यदि वे Cache को नियंत्रित कर सकते हैं, तो संभावित रूप से क्रिया के वातावरण में कोड चला सकते हैं, जिससे रिपॉजिटरी के लिए संवेदनशील डेटा तक अनधिकृत पहुंच हो सकती है, जैसे कि API कुंजियाँ, क्रेडेंशियल, या अन्य गोपनीय जानकारी। Blast radius व्यापक हो सकता है, क्योंकि यह किसी भी रिपॉजिटरी को प्रभावित कर सकता है जो इस क्रिया का उपयोग करता है, खासकर यदि क्रियाओं को उच्च विशेषाधिकारों के साथ चलाया जाता है। इस भेद्यता का उपयोग करके, हमलावर रिपॉजिटरी के निर्माण प्रक्रिया को भी बाधित कर सकता है या दुर्भावनापूर्ण सॉफ़्टवेयर को इंजेक्ट कर सकता है।

1. आरक्षित2026-03-25
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-07

CVE-2026-34042 को कम करने के लिए, तत्काल कार्रवाई की आवश्यकता है। सबसे महत्वपूर्ण कदम Docker कंटेनर को संस्करण 0.2.86 या उच्चतर में अपग्रेड करना है। यह संस्करण भेद्यता को ठीक करता है। यदि अपग्रेड तुरंत संभव नहीं है, तो एक अस्थायी समाधान के रूप में, Cache सर्वर को अक्षम करने पर विचार करें, हालांकि इससे कार्यक्षमता प्रभावित हो सकती है। Cache सर्वर को अक्षम करने से इंजेक्शन हमलों का जोखिम कम हो जाएगा। अपग्रेड के बाद, यह सत्यापित करना महत्वपूर्ण है कि Cache सर्वर ठीक से काम कर रहा है और कोई त्रुटि नहीं है। यह सुनिश्चित करने के लिए कि पैच सफलतापूर्वक लागू किया गया है, सिस्टम लॉग और क्रिया लॉग की निगरानी करें। यदि संभव हो, तो एक परीक्षण वातावरण में अपग्रेड करें और उत्पादन में लागू करने से पहले पूरी तरह से परीक्षण करें।