Dunia C4: Perisai Pipeline

Kisah tj-actions

Anda akan belajar: bagaimana tag yang dialihkan membocorkan secret dari beribu pipeline pada Mac 2025.

Teks BM belum disemak oleh penutur asli.

Disemak dengan GitHub Actions 2026-10 pada 31 Okt 2026

Masalahnya

Anda guna action popular pada @v45. Anda tak pernah sentuh baris itu. Boleh kod yang ia jalankan masih berubah?

Tengok

Ketik setiap titik pada garis masa.

Tekan setiap titik serangan sebenar ini. Beribu pipeline jalankan kod jahat. Tiada siapa ubah fail workflow mereka sendiri.

Tengok

Tekan baris log yang masih bocorkan secret.

0 daripada 1 dijumpai

GitHub sembunyikan secret yang tepat sebagai ***. Kod jahat ubah setiap secret dulu: dikod dua kali. Teks yang berubah terlepas. Dalam repo awam, sesiapa boleh baca log ini. (Log ini contoh.)

Cuba

Susun serangan ini ikut urutan. Langkah pertama di atas.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

Kod jahat cetak secret ke dalam log
Sesiapa sahaja baca log awam itu
Mereka alih tag versi ke commit jahat
Penyerang dapat akses tulis ke repo action itu
Pipeline jalankan @v45 dan dapat commit jahat

Cuba

Tag ikut sesiapa yang mengalihnya. SHA commit penuh tak boleh dialih.

Tekan setiap baris yang jalankan kod jahat pada 14 Mac.

0 daripada 2 dijumpai

Teka

Repo awam anda jalankannya pada 14 Mac. Apa anda buat dulu?

Semak

Apa setiap pasukan patut belajar daripada ini? Leret setiap pengajaran.

Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

1 / 4

Pin action pihak ketiga pada SHA commit penuh

Anda berjaya!

Kini anda boleh terangkan bagaimana tag yang dialih membocorkan secret dari beribu pipeline.

Nak tahu lebih (pilihan)

Beberapa hari sebelum itu, reviewdog/action-setup juga digodam. Penyelidik rasa dua serangan ini berkait. Ingat: pin SHA hanya membantu jika ia tunjuk ke commit yang baik. Pin pada commit jahat itu sendiri tak membantu. Baca nasihat GitHub dan tulisan Semgrep (pautan di bawah).