CVE-2026-32946 Harden-Runner 网络限制绕过漏洞

Harden-Runner 是 GitHub Actions 的 CI/CD 安全代理。在 2.15.1 及以下版本中存在安全限制绕过漏洞。攻击者若已获取工作流代码执行权限，可利用 TCP DNS 查询绕过 `egress-policy: block` 设置的严格网络限制。该问题导致出站过滤机制失效，攻击者可借此与外部受限通信，对机密性造成低影响。

该漏洞源于 Harden-Runner 在执行网络出站策略时，虽然对常规的网络连接层流量进行了过滤，但未对基于 TCP 协议的 DNS 查询实施有效限制。当配置了 `egress-policy: block` 并设置了严格的允许端点列表时，本应拒绝所有不合规流量。然而，攻击者若已获得工作流内的代码执行权限，可使用 `dig` 等工具通过 `+tcp` 参数显式发起基于 TCP 的 DNS 查询。由于此类特定协议流量未被策略正确识别和拦截，攻击者可借此与外部受限网络进行通信，从而成功绕过旨在隔离环境的网络安全控制措施。