'disable-sudo' ポリシーの回避 - Harden-Runner

この脆弱性は、攻撃者がHarden-Runnerが実行されているGitHub Actionsランナー上でルート権限を奪取することを可能にします。具体的には、DockerグループのメンバーであるランナーユーザーがDockerデーモンとやり取りし、特権コンテナを起動したり、ホストファイルシステムにアクセスしたりすることで、disable-sudoポリシーを回避できます。これにより、攻撃者は機密情報の窃取、コードの改ざん、さらにはランナーがアクセスできる他のリポジトリやシステムへの横展開といった攻撃を実行できる可能性があります。この脆弱性は、Docker環境でHarden-Runnerを使用している組織にとって重大なリスクとなります。

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. Specifically, deployments utilizing older versions of Harden-Runner (0.12.0 - 2.11.9) and granting the runner user broad Docker group permissions are particularly vulnerable. Shared hosting environments where multiple users share a runner instance also face increased exposure.

• docker: Inspect Docker group membership for the runner user.

getent group docker | grep -q 'runner' && echo 'Potential Vulnerability: Runner user is in Docker group'

• docker: Monitor Docker daemon logs for unusual container creation or privilege escalation attempts. • generic web: Review GitHub Actions workflows for any suspicious commands or container configurations. • linux / server: Audit Docker daemon configuration for overly permissive settings. • windows / supply-chain: (Less relevant, but check for Docker Desktop installations on runner machines and their configurations.)

1. 2025-04-21Disclosure

   disclosure

1. 予約済み2025-04-14
2. 公開日2025-04-21
3. 更新日2025-04-22
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずHarden-Runnerをバージョン2.12.0にアップデートすることが最も効果的です。アップデートが一時的に利用できない場合は、Dockerグループからランナーユーザーを削除することで、Dockerデーモンへのアクセスを制限し、脆弱性の悪用を軽減できます。また、WAFやプロキシサーバーを使用して、不審なDocker関連のネットワークトラフィックを監視およびブロックすることも有効です。アップデート後、ランナーの権限設定を確認し、不要な権限が付与されていないことを確認してください。