act: actions/cache server staat kwaadaardige cache-injectie toe

act is een project dat het lokaal uitvoeren van github actions mogelijk maakt. Voor versie 0.2.86 luistert de ingebouwde actions/cache server van act naar verbindingen op alle interfaces en staat iedereen die ermee verbinding kan maken, inclusief iemand ergens op het internet, toe om caches te creëren met willekeurige sleutels en alle bestaande caches op te halen. Als ze kunnen voorspellen welke cache-sleutels door lokale actions zullen worden gebruikt, kunnen ze kwaadaardige caches creëren die alle bestanden bevatten die ze willen, waardoor waarschijnlijk willekeurige remote code execution (RCE) binnen de docker container mogelijk is. Dit probleem is verholpen in versie 0.2.86.