Trusted Design

CVE-2025-30066 の詳細

CVEの情報

説明:
tj-actions changed-files before 46 allows remote attackers to discover secrets by reading actions logs. (The tags v1 through v45.0.7 were affected on 2025-03-14 and 2025-03-15 because they were modified by a threat actor to point at commit 0e58ed8, which contained malicious updateFeatures code.)

CVE更新日: 2025-03-15 06:15:12.193000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2025-03-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.720920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-30066について、以下の観点で解説します。

1. 脆弱性の概要

tj-actions/changed-files のバージョン46より前のバージョンにおいて、リモートの攻撃者がアクションのログを読み取ることで機密情報を発見できるサプライチェーン攻撃の脆弱性です。 この攻撃では、悪意のあるコードがGitHub Actionに注入されました。

攻撃の仕組み: 攻撃者は、バージョンタグ（v1からv45.0.7まで）を悪意のあるコミット「0e58ed8」を指すように変更しました。このコミットには、悪意のあるupdateFeaturesコードが含まれていました。 この悪意のあるコードは、GitHub Runnerのメモリをスキャンして認証情報を探し、それをGitHub Actionsのビルドログに出力するように設計されたPythonスクリプトをダウンロードして実行しました。 この攻撃は、別のGitHub Actionであるreviewdog/action-setup@v1（CVE-2025-30154として追跡）の侵害によって可能になった可能性があります。

1.1 影響

この脆弱性により、有効なアクセスキー、GitHub Personal Access Tokens (PATs)、npmトークン、プライベートRSAキーなどを含む機密情報が漏洩する可能性があります。 これらのシークレットは、ワークフローログから攻撃者によって取得される可能性がありました。

  • パブリックリポジトリの場合: ビルドログが公開されているため、GitHub Actionsのシークレットが漏洩するリスクがありました。
  • プライベートリポジトリの場合: CIログは外部から確認できないため、影響は限定的ですが、シークレットは侵害されたものと見なすべきです。

また、ビルドの整合性が侵害され、機密システムへの不正アクセスや認証情報の窃盗につながる可能性がありました。

1.2 深刻度

  • CVSSスコア: 8.6 (HIGH)
  • CISAは、CVE-2025-30066を「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加しており、積極的に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンは指定されていません。この脆弱性はGitHub Actionsワークフローに影響を与え、ワークフローは様々なOS上で実行されます。OSバージョン自体が脆弱性の主要因ではありません。

2.2 影響を受ける設定

  • tj-actions/changed-files のバージョン46より前のバージョン
  • 特に、タグv1からv45.0.7が影響を受けました。
  • バージョンタグ（例：tj-actions/changed-files@vX）を使用してGitHub Actionsワークフローを構成しているリポジトリが影響を受けました。
  • 攻撃期間中に侵害されたハッシュに更新したリポジトリもリスクに晒されています。
  • reviewdog/action-setup@v1（CVE-2025-30154）の侵害も、この攻撃に寄与した可能性があります。

3. 影響を受けた時の兆候

  • StepSecurityの「Harden-Runner」などのセキュリティソリューションによる不審なネットワーク通信の検知。
  • tj-actions/changed-filesアクションに悪意のあるコードが存在すること。
  • GitHub Actionsのビルドログにシークレット（base64エンコードされたPythonエクスプロイトコード）が出力されていること。
  • ビルドの整合性の侵害。
  • 機密システムへの不正アクセスまたは認証情報の窃盗。
  • 一部のバリエーションでは、盗まれたデータがGitHub GistへのPOSTリクエストを介して外部に流出しました。

4. 推奨対策

4.1 本対策

  • tj-actions/changed-filesをバージョン46以降に更新してください。 特にv46.0.1でパッチが適用されています。
  • reviewdog/action-setupを最新バージョン、特にreviewdog/action-setup@3f401feに更新してください。
  • 漏洩した可能性のあるすべてのシークレット（アクセスキー、PATs、npmトークン、プライベートRSAキーなど）を直ちに破棄し、再発行してください。
  • GitHub Actionsを使用する際は、変更可能なバージョンタグではなく、特定のコミットハッシュ（SHAリファレンス）をピン留めして使用してください。 これにより、タグが意図せず変更された場合でも安全なバージョンを維持できます。
  • GitHub Actionsのセキュリティ強化策を実施してください。
  • リアルタイムのクラウドセキュリティとランタイムインサイトのためのツール（例：Falco、Sysdig Secure）を活用し、ランタイム攻撃を検知してください。
  • GitHubのDependabotでマルウェアアラートを有効にしてください。

4.2 暫定回避策（緩和策）

  • ワークフローYAMLファイル内でtj-actions/changed-filesを使用しているすべてのリポジトリを特定してください。
  • 2025年3月12日00:00 UTCから2025年3月15日12:00 UTCの間にtj-actions/changed-filesのすべてのバージョンを使用していた、および/または2025年3月11日18:42から20:31 UTCの間にreviewdog/actionを使用していたすべてのプロジェクトの監査を実施してください。
  • GitHub Actionsの実行を制限し、自身で管理しているリポジトリや公式アクションのみの実行を許可する設定を行ってください。未知のアクションが実行されないように、許可リスト（allow-listing）を活用して制御してください。
  • ワークフローを監視し、定期的にGitHub Actionsの実行履歴を確認し、異常な挙動がないかをチェックしてください。不審なネットワーク接続やログ出力を監査し、疑わしいアクションはすぐに停止してください。
  • 悪意のあるアクションを使用したパブリックリポジトリについては、そのリポジトリのGitHubワークフローで使用されたすべてのシークレットが漏洩したとみなし、それらを破棄してください。
  • 資格情報が漏洩した可能性のあるシステムのアクセスログを調査し、さらなる調査や対応が必要かどうかを判断してください。

その他解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-506: Embedded Malicious Code
  • 発見経緯: StepSecurityの「Harden-Runner」ソリューションによって検知されました。
  • 当初の標的: Palo Alto Networksの分析によると、当初の標的は暗号通貨取引所CoinbaseのOSSプロジェクト「agentkit」だったとされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る