发布日期：2024-11-18
更新日期：2025-01-08

受影响系统：

Harden-Runner Harden-Runner < 2.10.2

描述：

---

CVE(CAN) ID: CVE-2024-52587

Harden-Runner是StepSecurity开源的一个程序，为GitHub托管和自托管的跑步者提供网络出口过滤和运行时安全。
Harden-Runner 2.10.2之前版本存在操作系统命令注入漏洞，该漏洞源于GitHub Actions中预步骤的当前执行顺序且程序将harden runner作为任务的第一步，攻击者可利用该漏洞读取环境变量。

<**>

建议：

---

厂商补丁：

Harden-Runner
-------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
https://github.com/step-security/harden-runner/blob/951b48540b429070694bc8abd82fd6901eb123ca/src/arc-runner.ts#L53

浏览次数：223
严重程度：0（网友投票）