Evasão de Política 'disable-sudo' no Harden-Runner

A vulnerabilidade permite que um atacante, sendo membro do grupo docker, utilize o daemon Docker para criar contêineres privilegiados ou acessar diretamente o sistema de arquivos do host. Isso pode ser explorado para obter acesso root, permitindo a execução de comandos arbitrários com privilégios elevados. O impacto é significativo, pois compromete a segurança do ambiente de CI/CD e pode levar à exfiltração de dados confidenciais, modificação do código-fonte ou interrupção do pipeline de entrega contínua. A capacidade de escalar privilégios para root torna essa vulnerabilidade particularmente perigosa, similar a cenários onde contêineres Docker são usados para contornar controles de segurança.

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. Specifically, deployments utilizing older versions of Harden-Runner (0.12.0 - 2.11.9) and granting the runner user broad Docker group permissions are particularly vulnerable. Shared hosting environments where multiple users share a runner instance also face increased exposure.

• docker: Inspect Docker group membership for the runner user.

getent group docker | grep -q 'runner' && echo 'Potential Vulnerability: Runner user is in Docker group'

• docker: Monitor Docker daemon logs for unusual container creation or privilege escalation attempts. • generic web: Review GitHub Actions workflows for any suspicious commands or container configurations. • linux / server: Audit Docker daemon configuration for overly permissive settings. • windows / supply-chain: (Less relevant, but check for Docker Desktop installations on runner machines and their configurations.)

1. 2025-04-21Disclosure

   disclosure

1. Reservado2025-04-14
2. Publicada2025-04-21
3. Modificada2025-04-22
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Harden-Runner para a versão 2.12.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere restringir o acesso do usuário do runner ao daemon Docker, limitando sua capacidade de criar contêineres privilegiados. Implementar políticas de segurança de contêiner que restrinjam o acesso ao sistema de arquivos do host também pode ajudar a reduzir o impacto. Monitore logs do Docker em busca de atividades suspeitas, como a criação de contêineres com privilégios elevados. Após a atualização, confirme a correção verificando se o usuário do runner não consegue mais executar comandos sudo.