Vzdálené spuštění kódu

Vzdálené spuštění kódu (RCE) je kritická třída bezpečnostních zranitelností, která útočníkovi umožňuje provádět libovolné příkazy nebo kód na cílovém stroji či serveru ze vzdáleného místa. Nevyžaduje fyzický přístup k zařízení a patří k nejzávažnějším typům zranitelností, které často dostávají nejvyšší skóre CVSS.

RCE může vzniknout z celé řady skrytých slabin, mimo jiné z přetečení bufferu, nezabezpečené deserializace, chyb typu injection a neopraveného softwaru. Jakmile útočník RCE dosáhne, může nainstalovat malware, vynést data, pohybovat se laterálně v síti nebo si zajistit trvalý přístup.

V kontextu CI/CD a GitHub Actions je RCE často konečným cílem útoků typu injection, jako je expression injection nebo techniky pwn request, při nichž útočník podstrčí příkazy, které se spustí uvnitř privilegovaného runneru buildu.