Mesa: A verificação de código não confiável em `benchmarks.yml` workflow pode levar à execução de código em runner privilegiado

Um atacante pode explorar esta vulnerabilidade para injetar e executar código malicioso dentro do ambiente privilegiado do runner do Mesa. Isso pode levar ao comprometimento completo do sistema, permitindo a exfiltração de dados sensíveis, instalação de malware ou até mesmo o controle total do servidor. A exploração bem-sucedida pode resultar em um impacto significativo, especialmente em ambientes onde o Mesa é utilizado para simulações críticas ou processamento de dados confidenciais. A possibilidade de execução de código em um contexto privilegiado aumenta significativamente o potencial de dano.

Organizations and individuals utilizing Mesa for agent-based modeling, particularly those running simulations in environments with limited access controls or where the runner environment has elevated privileges. Researchers and developers who have customized the benchmarks.yml workflow are also at increased risk.

• python / supply-chain:

import os
import subprocess

# Check Mesa version
result = subprocess.run(['pip', 'show', 'mesa'], capture_output=True, text=True)
if result.returncode == 0:
    mesa_version = result.stdout.split('Version: ')[1].split('\n')[0]
    if float(mesa_version) <= 3.5:
        print("Mesa version is vulnerable.")
else:
    print("Mesa is not installed.")

• generic web: Check for unusual files or modifications within the Mesa installation directory, particularly related to the benchmarks.yml workflow.

1. 2026-03-06Disclosure

   disclosure

1. Reservado2026-03-03
2. Publicada2026-03-06
3. Modificada2026-03-09
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar a biblioteca Mesa para a versão corrigida, contendo o commit c35b8cd. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desabilitar temporariamente o workflow benchmarks.yml ou restringir o acesso ao código checkout para fontes confiáveis. Implementar controles de acesso rigorosos ao ambiente do runner também pode ajudar a limitar o impacto de uma possível exploração. Monitore os logs do sistema em busca de atividades suspeitas relacionadas ao Mesa.