- Yama var
- Son 7 gün
- CWE-94
CVE-2026-53942
Conda altyapısı update iş akışında PR denetimli şablon render zafiyeti (Pwn Request)
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, kötü niyetli bir kişinin otomasyon sistemindeki yetkili erişim anahtarlarını ele geçirmesine ve projeye yetkisiz değişiklik yapmasına olanak tanıyabilir. Risk kritik seviyededir; etkilenen sistemlerin hemen güncellenmesi ve erişim anahtarlarının yenilenmesi gerekir.
ÖzetTürkçe
Conda Organization Infrastructure deposundaki update.yml GitHub Actions iş akışı, issue_comment olaylarında @conda-bot render veya recreate komutlarıyla tetiklenir. Render yolunda iş akışı, saldırganın kontrol ettiği pull request deposunu SYNC_TOKEN gizli anahtarıyla çeker ve bu içerik üzerinde çalışan harici şablon eylemi, Jinja2 şablonlarını kum havuzu (sandbox) olmadan işler. Bu durum, 9c0f238 commit'inden önceki sürümleri kullanan conda altyapısı ve ilgili iş akışları için geçerlidir.
Saldırgan ne yapabilir?
Saldırgan, ayrıcalıklı token bağlamında şablon işleme üzerinden kod çalıştırabilir. Bu da gizli anahtarların ele geçirilmesine ve depolarda yetkisiz değişiklik yapılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Conda Organization Infrastructure is a centralized location for infrastructure codes. Prior to commit 9c0f238, a GitHub Actions Pwn Request vulnerability appears to remain present in conda/conda. The affected workflow is .github/workflows/update.yml. It is triggered by issue_comment events containing @conda-bot render or @conda-bot recreate. For the render path, the workflow obtains the pull request head repository and branch from the PR API, checks out that PR-controlled repository/ref using secrets.SYNC_TOKEN, and then runs conda/actions/template-files@7f6830b1428a9bd47f0b068892c77eae95207037. The external template-files action reads its default configuration and templates from the checked-out working directory. In the confirmed finding, that action uses an unsandboxed Jinja2 environment to render attacker-controlled template content. This creates a Pwn Request chain in which an untrusted PR/comment path can reach template rendering in a privileged token context. This issue has been patched via commit 9c0f238.
Ne yapmalı?
- Altyapıyı 9c0f23857282ff5cf7a6b3ad6bf0dd6f9974be55 commit'i veya sonrasını içerecek şekilde güncelleyin. Üretici
- Hemen güncelleyemiyorsanız update iş akışını geçici olarak devre dışı bırakın veya issue_comment ile tetiklenen render ve recreate yollarını kapatın. Genel öneri
- Olası sızıntıya karşı SYNC_TOKEN gizli anahtarını yenileyin ve yetkilerini en az ayrıcalık ilkesine göre sınırlayın. Genel öneri
- Son dönemdeki iş akışı çalıştırmalarını ve depo değişikliklerini beklenmeyen etkinlik açısından inceleyin. Genel öneri
Ek önlemler
- Pull request içeriğini ayrıcalıklı token'larla işleyen iş akışlarını düzenli olarak gözden geçirin. Genel öneri
- Harici eylemleri sürüm etiketi yerine commit hash ile sabitleyin ve güvenilmeyen girdileri şablon motorlarına doğrudan vermeyin. Genel öneri
- Yorum tetikleyicili iş akışlarında çalışma loglarını izleyerek alışılmadık şablon veya kod çalıştırma girişimlerini tespit edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| conda infrastructure | < 9c0f23857282ff5cf7a6b3ad6bf0dd6f9974be55 | 9c0f23857282ff5cf7a6b3ad6bf0dd6f9974be55 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.