CVE-2026-105770 Exposición de información de políticas de confianza en Octo STS mediante mensajes de error de Exchange
Octo STS antes de 0.11.2 devuelve la configuración de la política de confianza a llamadores cuyo token OIDC no la satisface: TrustPolicy.CheckToken incluye issuer, subject, audience y nombres y expresiones regulares de claim_pattern en los errores PermissionDenied, que Exchange retorna textualmente. Además, Exchange selecciona la instalación de la GitHub App antes de validar el token, por lo que un atacante con cualquier token OIDC válido puede leer las reglas de coincidencia de una política, incluso si está en…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
octo-sts app
hasta antes de 0.11.2
Qué hacer
- Verificá si usás app y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
Octo STS (github.com/octo-sts/app) before 0.11.2 returns trust policy configuration to callers whose OIDC token does not satisfy that policy. TrustPolicy.CheckToken included the policy's issuer, subject and audience values or patterns and claim_pattern names and regular expressions in its PermissionDenied errors, which Exchange returned verbatim. Exchange also selected the GitHub App installation before checking the token, so errors from resolving the policy's app or app_pattern pin were returned to callers the policy does not trust. An attacker who holds any validly signed OIDC token, such as a GitHub Actions token from a repository they own, and who knows or guesses a target owner/repo and identity name can read that policy's matching rules, even when the policy is stored in a private repository. These rules often name internal repositories, branches, environments or cloud account identifiers. The issue does not allow minting tokens or bypassing a trust policy. This issue is fixed in 0.11.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.