InfoQ
·
被篡改的GitHub Action凸显CI/CD供应链中的风险
内容提要
最近，tj-actions/changed-files GitHub Action被新维护者篡改，发布了含恶意代码的版本，暴露了开源Actions的安全漏洞。这一事件引发了开发者对CI/CD安全的关注，强调了Actions供应链的风险。建议采取固定版本、第三方审计和加强运行环境等最佳实践，以防止类似攻击。
关键要点
-
tj-actions/changed-files GitHub Action被新维护者篡改，发布了含恶意代码的版本。
-
这一事件暴露了开源Actions的安全漏洞，引发了开发者对CI/CD安全的关注。
-
攻击面扩展到Actions的供应链，开发者对导入的Actions的安全性缺乏审查。
-
恶意版本包含混淆的shell命令，能够进行远程代码执行，暴露了开发者对GitHub Actions的信任盲点。
-
用户发现新版本包含可疑的curl | bash模式，StepSecurity确认其能够窃取敏感数据。
-
事件促使广泛的审计和临时工作流暂停，影响了多个项目。
-
tj-actions/changed-files Action的流行性和生态系统的脆弱性引发了关注。
-
安全研究人员建议将所有第三方Actions固定到特定的SHA，以确保可重现性和防止篡改。
-
建议加强GitHub托管的运行环境，限制出站网络访问，严格环境变量范围，减少不必要的权限。
-
事件引发了关于CI/CD供应链安全的更广泛讨论，开发者论坛上提出了担忧。
-
GitHub Actions运行权限高，能够签署发布、推送镜像或部署到生产，受损的Action可能会颠覆整个交付管道。
-
行业正在通过SLSA、Sigstore和SBOM工具等倡议取得进展，但GitHub Actions仍缺乏对可重用Actions的来源、沙箱和信任执行的支持。
-
一些工程团队开始正式化评估和采用第三方自动化工具的方式，定义内部标准并进行审查。
延伸解读
CI/CD供应链的脆弱性
tj-actions/changed-files Action的篡改事件揭示了CI/CD供应链的安全隐患。开发者通常对导入的Actions缺乏足够的审查，导致潜在的恶意代码得以渗透。此事件提醒开发者在使用开源工具时，需更加谨慎，确保所用Actions的安全性。
最佳实践的重要性
事件后，安全专家建议采取固定版本、第三方审计等最佳实践，以防止类似攻击。这些措施不仅能提高安全性，还能增强开发者对CI/CD工具的信任，确保交付流程的稳定性。
开发者的信任盲点
许多开发者对GitHub Actions的信任过于盲目，未能意识到其潜在风险。此事件促使开发者重新审视对第三方Actions的依赖，强调了在使用这些工具时进行安全审查的重要性。
行业趋势与未来方向
随着对CI/CD供应链安全的关注增加，行业内开始出现对第三方自动化工具的正式评估和标准化流程。这一趋势表明，开发团队正在逐步将CI/CD基础设施的安全性提升到与应用程序依赖相同的重视程度。
延伸问答
tj-actions/changed-files GitHub Action是如何被篡改的？
tj-actions/changed-files GitHub Action被新维护者篡改，发布了含有混淆恶意代码的版本。
这次事件对CI/CD安全有什么影响？
事件引发了开发者对CI/CD安全的关注，强调了Actions供应链的风险。
开发者应该如何防范类似的安全风险？
建议采取固定版本、第三方审计和加强运行环境等最佳实践，以防止类似攻击。
恶意版本的tj-actions/changed-files Action具体做了什么？
恶意版本包含混淆的shell命令，能够进行远程代码执行，窃取敏感数据。
开发者对GitHub Actions的信任盲点是什么？
开发者对导入的Actions的安全性缺乏审查，容易信任不明来源的Actions。
行业在CI/CD供应链安全方面有哪些进展？
行业正在通过SLSA、Sigstore和SBOM工具等倡议取得进展，但GitHub Actions仍缺乏对可重用Actions的支持。
