Trusted Design

CVE-2025-30154 の詳細

CVEの情報

説明:
reviewdog/action-setup is a GitHub action that installs reviewdog. reviewdog/action-setup@v1 was compromised March 11, 2025, between 18:42 and 20:31 UTC, with malicious code added that dumps exposed secrets to Github Actions Workflow Logs. Other reviewdog actions that use `reviewdog/action-setup@v1` that would also be compromised, regardless of version or pinning method, are reviewdog/action-shellcheck, reviewdog/action-composite-template, reviewdog/action-staticcheck, reviewdog/action-ast-grep, and reviewdog/action-typos.

CVE更新日: 2025-03-19 16:15:33.780000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2025-03-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.024850000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-30154について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-30154は、GitHub Actionsであるreviewdog/action-setup@v1におけるサプライチェーン攻撃に関連する脆弱性です。この脆弱性により、GitHub Actionsのワークフローログに機密情報が漏洩する可能性がありました。攻撃者はreviewdogのコントリビューターのPersonal Access Token（PAT）を不正に入手し、悪意のあるコードを注入したと見られています。この脆弱性は、別のGitHub Actionsであるtj-actions/changed-files (CVE-2025-30066) の侵害の根本原因である可能性も指摘されています。

1.1 影響

この脆弱性の影響は、GitHub Actionsのワークフローログを通じて以下の機密情報が漏洩する可能性があることです。 * 有効なアクセスキー * GitHub Personal Access Token (PAT) * npmトークン * プライベートRSAキー

これらの漏洩したシークレットは、さらなる攻撃に悪用される可能性があります。

1.2 深刻度

CVE-2025-30154の深刻度は「高 (High)」と評価されており、共通脆弱性評価システムCVSSv3.1の基本スコアは8.6です。CVSSベクトルは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N です。 本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) Catalogに追加されており、実際に悪用されたことが確認されています。EPSS（Exploit Prediction Scoring System）による悪用される可能性は2.4%とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は特定のOSバージョンに依存するものではなく、GitHub Actionsを使用する環境に影響を与えます。

2.2 影響を受ける設定

以下のreviewdogアクション、またはreviewdog/action-setup@v1を使用しているGitHub Actionsが影響を受けます。 * reviewdog/action-setup@v1 (2025年3月11日18:42 UTCから20:31 UTCの間に改ざんされたバージョン) * reviewdog/action-shellcheck * reviewdog/action-composite-template * reviewdog/action-staticcheck * reviewdog/action-ast-grep * reviewdog/action-typos

3. 影響を受けた時の兆候

  • GitHub Actionsのワークフローログに、機密情報（アクセスキー、PAT、npmトークン、プライベートRSAキーなど）が意図せずダンプされている。
  • 漏洩したシークレットが二重にエンコードされたBase64ペイロードとして難読化されている場合がある。
  • 組織内で、2025年3月11日00:00 UTCから2025年3月15日12:00 UTCまでの間にtj-actions/changed-filesの全バージョン、および2025年3月11日18:42から20:31 UTCの間にreviewdog/action-setupを使用しているプロジェクトの監査を実施することが推奨されています。

4. 推奨対策

4.1 本対策

  • reviewdog/action-setupをバージョンv2に直ちにアップグレードする。バージョンv2は悪意のあるコードの注入が元に戻されており、安全と見なされています。
  • reviewdog/action-setup@v1を使用している他のreviewdogアクション（reviewdog/action-shellcheckなど）についても、関連する修正が適用されていることを確認してください。

4.2 暫定回避策（緩和策）

明示的な暫定回避策は示されていませんが、CISAは以下の対応を推奨しています。 * インシデントの調査と悪意のあるアクティビティの報告: 異常なアクティビティや確認されたインシデントをCISAの24時間年中無休オペレーションセンターに報告する。 * 影響を受けるリポジトリの特定: 組織内のすべてのプロジェクトで、特定の期間に影響を受けたアクション（tj-actions/changed-files、reviewdog/action-setup）を使用しているリポジトリを監査し特定する。 * 漏洩したシークレットの特定: 悪意のあるコミットが実行されたワークフローを持つ公開リポジトリについて、漏洩したアクセスキー、GitHub Personal Access Token (PAT)、npmトークン、およびプライベートRSAキーを確認する。 * シークレットのローテーション: 漏洩した可能性のあるすべてのシークレットを直ちにローテーションする。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る