CVE-2026-58053: Escalonamento de privilégios no act_runner do Gitea (backend Docker) via container.options
A CVE-2026-58053 afeta o act_runner do Gitea quando utiliza o backend Docker. Segundo o registro, opções presentes na string container.options de um workflow, como acesso ao namespace de PID do host e capacidades adicionais, podem continuar sendo aplicadas mesmo com privileged definido como false, o que pode permitir que um usuário capaz de executar workflows obtenha root no host. O CNA informa pontuação crítica no CVSS 3.1, a CVE não consta no catálogo KEV da CISA e não foi identificada exploração confirmada nas fontes consultadas.
Visão geral
Este registro descreve uma fraqueza de gerenciamento de privilégios no act_runner do Gitea quando os jobs são executados com o backend Docker. O CNA afirma que a flag privilegiada é desativada quando privileged está como false, mas outras opções de contêiner definidas no workflow continuam sendo mescladas à configuração do contêiner do job.
Impacto
O CNA afirma que um usuário capaz de executar um workflow em um runner baseado em Docker pode escapar para o host como root. O vetor CVSS 3.1 informado indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo. Essas afirmações vêm do registro do CNA e não foram verificadas de forma independente nesta análise.
Produtos e versões afetadas
- O registro cita o act_runner do Gitea com o backend Docker, até o act 0.262.0.
- Os campos estruturados de versões afetadas e corrigidas estão vazios, portanto a faixa exata de versões afetadas não é confirmada pelo registro.
- Outras versões do act_runner, outros backends ou outras configurações não são tratados pelo registro.
Status de exploração
- O registro indica que a CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada no mundo real aparece nas fontes consultadas nesta análise.
- O registro referencia um repositório público de terceiros; seu conteúdo não foi usado para sustentar nenhuma afirmação aqui.
- O EPSS indica probabilidade de 0,00442 com percentil de 0,36655, datado de 2026-10-13.
Correção e mitigação
- Verifique os canais oficiais do projeto em busca de uma versão atualizada do act_runner que trate este problema. O registro não identifica uma versão corrigida.
- Limite quem pode criar ou alterar workflows executados em runners baseados em Docker e revise as mudanças antes da execução.
- Evite compartilhar o host do runner com cargas de trabalho sensíveis e isole os runners sempre que possível.
- Revise e restrinja quais opções de contêiner são permitidas no seu ambiente, tratando configurações de namespaces do host e capacidades como de alto risco.
- Aplique o princípio do menor privilégio ao daemon Docker e aos hosts dos runners.
Orientações de detecção
- Audite os arquivos de workflow em busca de opções de contêiner que solicitem namespaces do host, capacidades adicionais ou perfis de segurança enfraquecidos.
- Monitore os logs do daemon Docker e dos hosts dos runners em busca de contêineres de job iniciados com configurações inesperadas de namespace ou capacidade.
- Gere alertas para contêineres que acessem caminhos ou processos do host de forma inesperada após o início de um job de CI.
Limitações das informações disponíveis
- O registro não informa versão corrigida, correção nem faixa de versões afetadas em campos estruturados.
- Não é possível determinar, a partir do registro, se o comportamento persiste em todas as versões do act_runner ou configurações de implantação.
- As pontuações CVSS 3.1 e 4.0 vêm do CNA e não foram comparadas com uma avaliação independente.
- Atividade de exploração além das fontes consultadas é desconhecida.
Perguntas frequentes
O que é a CVE-2026-58053?
É uma falha de gerenciamento de privilégios relatada no act_runner do Gitea com backend Docker, na qual opções de contêiner ainda podem conceder namespaces do host e capacidades mesmo com privileged definido como false, segundo o registro do CNA.
Esta CVE está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas nesta análise.
Existe versão corrigida disponível?
O registro não informa versão corrigida. Consulte os canais oficiais do projeto para verificar uma versão atualizada.
O que os administradores devem fazer agora?
Restrinja quem pode executar ou alterar workflows em runners baseados em Docker, evite cargas sensíveis em hosts de runners compartilhados e audite os workflows em busca de opções de namespace ou capacidade do host.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.