GitHubの自動化機能に脆弱性、私有情報漏洩のリスク
secure-clip_編集担当
ライター
この記事のポイント
- 公開リポジトリの一般的なIssueから、組織の私有リポジトリのデータが漏洩する可能性が判明
- 認証情報不要。自動ワークフロー機能に読取権限があれば攻撃が成立するリスク
- ワークフロー権限の見直しと、GitHubからの対策待ちが必要な状況
セキュリティ研究機関Noma Securityが、GitHub上の自動ワークフロー機能の脆弱性を報告しました。攻撃者は公開リポジトリに普通のIssueを開くだけで、組織の私有リポジトリの内容にアクセス可能になります。認証情報の盗難やアクセス権の不正取得は不要です。ワークフロー機能に複数リポジトリの読取権限が設定されていれば、リスクが高まります。GitHubは対策を進めており、組織は自動ワークフロー権限を最小限に絞ることが推奨されています。
よくある質問
- うちの組織も影響を受ける可能性はありますか？
- GitHub Actions等の自動ワークフロー機能を使用し、複数リポジトリへの読取権限を設定している場合はリスク対象です。設定内容の確認を推奨します。
- 既に攻撃されていないか確認する方法はありますか？
- ワークフロー実行ログの異常なアクセス記録や、想定外の処理がないか確認してください。不明な点があればGitHubサポートへ相談してください。
- 今すぐ取るべき対策は何ですか？
- ワークフロー権限を最小限に設定し直し、本当に必要なリポジトリのみアクセス可能にしてください。GitHubからのパッチ提供を待ちながら進めましょう。
情報源：The Hacker News
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
