Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitHub CodeQL Action a CodeQL CLI opravujú jednu zraniteľnosť
CodeQL Action vo verzii 3.28.3 a CodeQL CLI vo verzii 2.20.3 opravujú jednu zraniteľnosť [1][2].
Autentizovanému vzdialenému útočníkovi s oprávnením na čítanie v repozitári je umožnené získať prístupový GITHUB_TOKEN a ďalšie citlivé údaje z ladiacich artefaktov nahraných po zlyhaní pracovného postupu skenovania kódu, čo útočníkovi umožňuje získať oprávnenia k repozitáru a vykonávať neoprávnené akcie [1][2].
Zraniteľnosť sa nachádza v produktoch:
- *:GitHub CodeQL CLI; >= 2.9.2, <2.20.3
- *:GitHub CodeQL Action; >=3.26.11, <=3.28.2; >=2.26.11, <3.0.0
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-24362 na cve.org, NVD
- CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 1. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 30. 1. 2025.