Mesa: Uitchecken van onbetrouwbare code in `benchmarks.yml` workflow kan leiden tot code-uitvoering in een privileged runner

Een succesvolle exploitatie van CVE-2026-29075 kan leiden tot volledige controle over de bevoorrechte runner waarop Mesa draait. Dit betekent dat een aanvaller potentieel toegang kan krijgen tot gevoelige data, systemen kan compromitteren en lateraal kan bewegen binnen het netwerk. De impact is aanzienlijk, vooral in omgevingen waar Mesa wordt gebruikt voor kritieke simulaties of waar de bevoorrechte runner toegang heeft tot gevoelige resources. De mogelijkheid om code uit te voeren op een bevoorrechte runner maakt dit een ernstige dreiging, vergelijkbaar met kwetsbaarheden die toegang tot root-rechten verlenen.

Organizations and individuals utilizing Mesa for agent-based modeling, particularly those running simulations in environments with limited access controls or where the runner environment has elevated privileges. Researchers and developers who have customized the benchmarks.yml workflow are also at increased risk.

• python / supply-chain:

import os
import subprocess

# Check Mesa version
result = subprocess.run(['pip', 'show', 'mesa'], capture_output=True, text=True)
if result.returncode == 0:
    mesa_version = result.stdout.split('Version: ')[1].split('\n')[0]
    if float(mesa_version) <= 3.5:
        print("Mesa version is vulnerable.")
else:
    print("Mesa is not installed.")

• generic web: Check for unusual files or modifications within the Mesa installation directory, particularly related to the benchmarks.yml workflow.

1. 2026-03-06Disclosure

   disclosure

1. Gereserveerd2026-03-03
2. Gepubliceerd2026-03-06
3. Gewijzigd2026-03-09
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-29075 is het upgraden naar een versie van Mesa die de patch bevat (commit c35b8cd). Indien een upgrade momenteel niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de benchmarks.yml workflow of het beperken van de toegang tot de bevoorrechte runner. Controleer de Mesa documentatie voor specifieke configuratie-opties die de impact van de kwetsbaarheid kunnen verminderen. Na de upgrade, bevestig de correcte werking door de benchmarks.yml workflow opnieuw uit te voeren met een vertrouwde codebasis.