act: Processamento irrestrito dos comandos set-env e add-path permite injeção de ambiente

A vulnerabilidade CVE-2026-34041 no act permite a injeção de ambiente devido ao processamento irrestrito dos comandos 'set-env' e 'add-path'. Um atacante, com acesso para configurar o act, pode manipular essas variáveis de ambiente para executar comandos arbitrários no contexto do agente de execução. Isso pode levar à exfiltração de dados sensíveis armazenados em variáveis de ambiente, como chaves de API, senhas ou tokens de acesso. O raio de impacto é significativo, pois um atacante pode potencialmente comprometer todo o ambiente de integração contínua (CI) onde o act está sendo usado. Por exemplo, um atacante poderia injetar um comando que copie arquivos confidenciais do repositório para um servidor controlado por ele, ou até mesmo instalar malware nos agentes de execução. A exploração bem-sucedida pode resultar em acesso não autorizado a sistemas internos, roubo de propriedade intelectual e interrupção do processo de desenvolvimento de software. A capacidade de injetar comandos arbitrários torna esta vulnerabilidade particularmente perigosa, permitindo uma ampla gama de ataques, desde a coleta de informações até a execução de código malicioso.

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. This includes development teams using act to accelerate their workflows and those who store sensitive information as environment variables within their GitHub repositories. Shared hosting environments utilizing act also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server: Monitor GitHub Actions workflow logs for suspicious set-env or add-path commands. Use journalctl to filter for act-related processes and look for unusual environment variable modifications.

journalctl -u act -g 'set-env' --grep 'env=' | less

• generic web: Examine GitHub Actions workflow definitions for any insecure usage of set-env or add-path. Review repository access controls to ensure only authorized users can modify workflows.

1. 2026-04-02Disclosure

   Public Disclosure

1. Reservado2026-03-25
2. Publicada2026-04-02
3. EPSS atualizado2026-04-07

A correção para CVE-2026-34041 é a atualização para a versão 0.2.86 ou superior do act. Esta versão corrige o processamento inseguro dos comandos 'set-env' e 'add-path'. Se a atualização imediata não for possível, uma medida paliativa temporária é restringir severamente as permissões de configuração do act, limitando quais usuários podem modificar as variáveis de ambiente. É crucial revisar e fortalecer os controles de acesso para garantir que apenas usuários autorizados possam alterar a configuração do act. Após a atualização, verifique se as variáveis de ambiente críticas não foram comprometidas e se os processos de CI estão funcionando conforme o esperado. Realize testes de regressão para garantir que a atualização não introduziu novos problemas. A validação da correção deve incluir a tentativa de exploração da vulnerabilidade em um ambiente de teste para confirmar que a mitigação é eficaz.