GitHub Actionsに潜む脅威、1文字の誤りで壊滅的な結果を招く
マイナビニュース / 2024年9月9日 12時19分
Orca Securityは9月5日(米国時間)、「Typosquatting in GitHub Actions|Orca Security」において、GitHub Actionsのタイポスクワッティングについて、注意を喚起した。開発者の入力ミスがマルウェアのインストール、機密情報の漏洩、コードの改ざんにつながる可能性があると指摘されている。
○「GitHub Actions」とは
GitHub Actionsはビルド、テスト、デプロイのパイプラインを自動化できる継続的インテグレーションおよび継続的デリバリーシステム(CI/CD: Continuous Integration/Continuous Delivery)のプラットフォーム。
リポジトリに対するpullリクエストをトリガーとしてビルドおよびテストを実行したり、運用環境へデプロイする作業の自動化したりといったことができる(参考:「GitHub Actions を理解する - GitHub Docs」)。
○タイポスクワッティングの影響
GitHub Actionsは誰でもそのアクションを公開することができる。脅威アクターも一時的なメールアドレスを用意するだけで、悪意のあるアクションを公開できる。開発者が誤って悪意のあるアクションを実行してしまうと、マルウェアのインストールなど壊滅的な結果に至る可能性がある。
Orca Securityは攻撃の具体例として、アクション「uses: actions/checkout」のタイポスクワッティングを取り上げている。攻撃者が「uses: action/checkout(sが足りない)」を作成し、開発者が誤って「s」を入力しなかった場合、攻撃者のアクションが実行されてしまう。
実際、GitHubの公開リポジトリから「action」を呼び出すファイルが158個確認されており、危険な状態にあるという。なお、「action」の他にも「actons(iが足りない)」のパターンも複数確認されている。
○対策
Orca Securityの実験では、テスト用に作成したタイポスクワッティングアクションは2カ月後に使用され、通報を受けて停止されるまで3カ月かかったという。また、158個だった「action」を呼び出すファイルは、この3カ月間で194個にまで増えたいう。
このように、GitHub Actionsにはタイポスクワッティングの脅威が潜んでおり、開発者には、次のような対策の実施が推奨されている。
アクションを使用する場合、使用前に正しい組織(Organization)を指定しているかどうかを確認する
検証済みの開発者や、スターおよびフォーク数の多い開発者のアクションを使用する
バージョンタグまたはコミットチェックサム(SHA1)を比較し、既知の正常なアクションを使用しているかどうかを確認する
セキュリティツールを導入し、入力ミスなどのリスクを検出する
プロジェクトマネージャーまたは上級職員には上記に加え、チーム全体にタイポスクワッティングの脅威について教育することが推奨されている。1人の開発者がたった1文字間違えただけで取り返しのつかない結果につながる可能性があるため、GitHub Actionsについては慎重に利用することが望まれている。
(後藤大地)
外部リンク
この記事に関連するニュース
-
フィッシング攻撃のブランド偽装トップ3はGoogle、Microsoft、Amazon
マイナビニュース / 2024年9月12日 9時31分
-
生成AIだますプロンプトインジェクションに脆弱性、情報流出招く恐れ
マイナビニュース / 2024年8月30日 12時51分
-
Microsoft公式サイトのMicrosoftサポート詐欺発見、だまされないように
マイナビニュース / 2024年8月28日 9時42分
-
GitHub、管理者権限を取得できるEnterprise Serverの脆弱性を修正
マイナビニュース / 2024年8月25日 19時45分
-
GitHub Copilot Autofix、脆弱性の発見と修正を同時に行い、3倍速くソースコードをセキュアにする新機能を発表 ~脆弱性が見つかることが修正されたことと同じ!~
Digital PR Platform / 2024年8月15日 12時4分
ランキング
-
1決済プロバイダーからクレジットカード情報流出、170万人に影響か
マイナビニュース / 2024年9月12日 10時8分
-
2【無料ゲーム】アマゾン「Prime Gaming」2024年9月の特典はこれだ
ASCII.jp / 2024年9月11日 12時15分
-
3「日本のマクドナルドはクレイジーだ!」 アメリカ人が日本のメニューを食べてみたら…… まさかの酷評&絶賛に2500万再生「今から日本行きたい」
ねとらぼ / 2024年9月8日 12時0分
-
4「まさか自分が」要潤、特殊詐欺被害を報告 「かなり巧妙な手口」だと注意呼び掛け
ねとらぼ / 2024年9月12日 13時53分
-
5ドンキの格安SIM「マジモバ」開始 月額700円で3GBから、USCカード払いでポイント5倍
ITmedia Mobile / 2024年9月12日 15時23分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)