GoogleのProject Zero、GitHub Actionsの脆弱性を公表 9
ストーリー by nagazou
脆弱 部門より
脆弱 部門より
headless 曰く、
GoogleのProject Zeroは2日、GitHubのリポジトリ内でソフトウェア開発ワークフローを自動化できるGitHub Actionsの脆弱性を公表した(Issue 2070、 Neowinの記事)。
脆弱性が見つかったのはGitHub Actionsのワークフローコマンドの実行に関するものだ。Actionsのランナーは実行されたアクションのSTDOUT出力をパースし、ワークフローコマンドを探して実行する。そのため、信頼されていないコンテンツを出力するアクションにはインジェクション攻撃を可能にする脆弱性がある。たとえば、環境変数を設定する「set-env」や、パスを追加する「add-path」といったワークフローコマンドに悪意のあるパラメーターが指定されると、その後のワークフロー実行時にリモートからコードが実行される可能性があるという。
Project Zeroは7月21日に脆弱性をGitHubへ報告。GitHub側は10月1日にCVE-2020-15228としてアドバイザリーを公開し、脆弱性のあるコマンドの非推奨化を発表した。報告から90日後の公表期限は10月19日だったが、GitHubは脆弱性のあるコマンドを無効化するために14日間の猶予期間追加を要請し、期限は11月2日となった。GitHubはさらに48時間の追加を求めたが、問題の修正が目的ではなかったためProject Zeroは認めずに脆弱性を公表したとのことだ。
コメがない (スコア:0)
GitHub Actionとか誰もつかってないん？
Re: (スコア:0)
そもそもGitHub使ってない
MSが買収してからずっとサービスが止まりまくって、まともに使えたためしが無いし
Re: (スコア:0)
付いたコメは、エアプでした。
Re: (スコア:0)
使ってないのに、ずっと止まりまくり(ﾆﾁｬｧ)と言えちゃうのがね...
Re: (スコア:0)
こないだもGitHub関連でアンチMS湧いてたけど、
真正のアンチMSはやっぱアホしかいないんだなって感想しかねぇわ。
MSがポカしたストーリーでだけ適切にMS批判してる人は一緒にされたくないだろうな。
Re: (スコア:0)
悪意のあるユーザーがコミットできるようなプロジェクトの管理はしていないんじゃないかな。
個人かせいぜい部署内ぐらいでしょ。
そういえば (スコア:0)
GitHub Enterpriseが2.22でGitHub Actions Betaとか機能追加されて楽しみだろうけど
マイナーバージョン低いうちは今までも少し不安定だったから導入は慎重にねってメールがサポートから来てたな。
2.22.0が2020/9/23で今は2.22.3か。
https://enterprise.github.com/releases [github.com]
Re: (スコア:0)
仕事絡みはNDAとかセキュリティ面でクラウドにソース上げられないからなぁ。
標準出力って保護出来る？ (スコア:0)
環境変数もだけど。
正直知らん。