pvharmo2/gha-lab-ed7a1740c4Laboratorio de investigación en seguridad: reproducción controlada de GHSA-3g6g-gq4r-xjm9 / CVE-2026-35580 (inyección de shell en la entrada workflow_dispatch de GitHub Actions) contra una instantánea fijada de NationalSecurityAgency/emissary
Artefacto de investigación automatizado — no es el proyecto original.
Este repositorio es un laboratorio desechable construido por un sistema automatizado para una tesis de maestría en Université Laval sobre la reproducción de vulnerabilidades publicadas en flujos de trabajo de GitHub Actions. Es una instantánea verbatim de
NationalSecurityAgency/emissaryen el commit898488b489615581ea66d17954742c8e4ffb0323(2026-01-09), redistribuida bajo la licencia de ese proyecto, cuyo archivo se incluye sin cambios en esta instantánea.El proyecto original no está involucrado, nunca es el objetivo, y la vulnerabilidad estudiada aquí ya es pública. Cada secreto y variable en este repositorio es un valor ficticio generado aleatoriamente — no hay ninguna credencial real presente. Las referencias de acciones e imágenes de ejecutores están fijadas a lo que resolvieron el 2026-01-09; consulte
pinning.mden la salida del sistema para cada cambio realizado en la instantánea.Preguntas u objeciones: [email protected]
Emissary es un motor de flujo de trabajo basado en datos y P2P que se ejecuta en una red P2P heterogénea, posiblemente ampliamente dispersa y de múltiples niveles, de recursos informáticos. Los itinerarios de flujo de trabajo no están preplanificados como en los motores de flujo de trabajo convencionales, sino que se descubren a medida que se descubre más información sobre los datos. Normalmente no hay interacción del usuario en un flujo de trabajo de Emissary; más bien, los datos se procesan de manera orientada a objetivos hasta que alcanzan un estado de finalización.
Emissary es altamente configurable, pero en esta implementación base no hace casi nada. Se espera que los usuarios de este marco proporcionen clases que extiendan emissary.place.ServiceProviderPlace para realizar trabajo en las cargas útiles de emissary.core.IBaseDataObject.
Se pueden hacer una variedad de cosas y el flujo de trabajo se gestiona en etapas, por ejemplo, STUDY, ID, COORDINATE, TRANSFORM, ANALYZE, IO, REVIEW.
Las clases responsables de dirigir el flujo de trabajo son emissary.core.MobileAgent y las clases derivadas de ella, que gestionan la ruta de un conjunto de objetos de carga útil relacionados a través del flujo de trabajo y emissary.directory.DirectoryPlace que gestiona los servicios disponibles, su costo y calidad, y mantiene conectada la red P2P.
Lea la guía DEVELOPING.md para obtener información sobre la instalación de los componentes necesarios, la obtención del código fuente, la compilación y la ejecución de Emissary.
Ejecute mvn clean package para compilar, probar y empaquetar Emissary
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time: 9.132 s
[INFO] Finished at: 2022-01-10T22:31:05Z
[INFO] ------------------------------------------------------------------------
Hay un script bash en Emissary que ejecuta todo. Está en el directorio de nivel superior de Emissary. El script ejecuta la clase emissary.Emissary que tiene varios comandos Picocli disponibles para manejar diferentes funciones.
Si el script emissary se ejecuta sin argumentos, obtendrá una lista de todos los subcomandos de configuración y una breve descripción.
./emissary
Ejecutar ./emissary help le dará la misma salida que ejecutar sin argumentos. Si desea ver información
más detallada sobre un comando, agregue el nombre del comando después de help. Por ejemplo, para ver todos los
argumentos con descripciones del comando server, ejecute:
./emissary help server
El resto de comandos tienen argumentos (-b o --projectBase) que se pueden configurar, pero deben coincidir con PROJECT_BASE.
El directorio de configuración está predeterminado en /config pero también se puede pasar con (-c o --config). Cuando se ejecuta desde el checkout de git, debe usar target como projectBase. Siéntase libre de modificar los archivos de configuración en target/config antes de comenzar.
El registro se maneja con logback. Puede apuntar a un archivo personalizado con el argumento --logbackConfig.
Consulte help -c para cada comando para obtener más información.
Este comando iniciará un servidor Emissary e inicializará todos los lugares, un lugar de recogida y los filtros de entrega que estén configurados. Se iniciará en modo standalone si -m o --mode no se especifica. Por defecto, el número de MobileAgents se calcula según las especificaciones de la máquina. En computadoras modernas, esto puede ser alto. Puede controlar el número de agentes con -a o --agents. Aquí hay un ejemplo de ejecución.
./emissary server -a 2