GitHub Actions の checkout における pull_request_target イベントのデフォルト設定をより安全に

pull_request_target イベントは、GitHub Actions において最も誤用されやすいトリガーの一つであり、ワークフローに脆弱性をもたらします。pull_request_target で起動されたワークフローは、ベースリポジトリの GITHUB_TOKEN、シークレット、およびデフォルトブランチキャッシュへのアクセス権限で実行されます。これらのワークフロー内で、フォークからの未レビューなプルリクエストのヘッドをチェックアウトすると、攻撃者が制御するコードがワークフローの完全な特権で実行されてしまう可能性があります。このパターンは「pwn request」と呼ばれ、エコシステム全体で複数のサプライチェーンインシデントの根本原因となってきました。詳細については、これらの要求を防ぐための当社のブログ記事をご覧ください。 本日より、actions/checkout v7 が一般提供され、デフォルトで一般的な pwn request パターンを拒否するようになります。 2026 年 7 月 16 日までに、この強制措置は現在サポートされているすべての主要バージョンにバックポートされます。浮動の主要タグ（例：actions/checkout@v4）に固定されたワークフローは、自動的にこの変更を適用します。特定の SHA、マイナーバージョン、またはパッチバージョンに固定されたワークフローはバックポートの影響を受けず、Dependabot を使用するか、確立されたアップグレードプロセスを通じてアップグレードする必要があります。 同じリポジトリ内のプルリクエストには影響がなく、pull_request イベントも変更されません。 何が変わるか actions/checkout v7 は、pull_request_target および workflow_run ワークフロー（後者は workflow_run.event が pull_request* イベントの場合のみ）において、フォークからのプルリクエストコードのフェッチを拒否します。これは、プルリクエストがフォークからのものであり、かつ以下のいずれかが当てはまる場合に発生します。 repository: フォークプルリクエストのリポジトリに解決されます。 ref: refs/pull//head または refs/pull//merge に一致します。 ref: フォークプルリクエストの head または merge コミットの SHA に解決されます。 この変更は、Actions エコシステムにおける最も一般的な pwn リクエスト（悪意のあるコード実行要求）を防ぐことに焦点を当てています。これにより、actions/checkout は、以下のような不十分な入力を持つフォークからの pull_request_target イベントで使用された場合に失敗するようになります。 ref: refs/pull/${{ github.event.pull_request.number }}/merge ref: ${{ github.event.pull_request.head.sha }} repository: ${{ github.event.pull_request.head.repo.full_name }} 変更されない、または対象外となる事項 pwn リクエストは、この変更の範囲外の他の方法でも導入される可能性があります。例えば、run ブロックで git や gh CLI を使用して、HEAD リファレンスやその他の信頼できないソースからプルし、その後実行するケースが該当します。また、pull_request_target 以外のイベントタイプ（issue_comment など）でトリガーされた pwn リクエストは、この変更ではブロックされません。追加のイベントに対するさらなる強化については、今後のリリースで検討される可能性があります。 この変更は、フォークされたプルリクエストのヘッドおよびマージコミットのチェックアウトのみをブロックします。他の信頼できないリポジトリからのチェックアウトはブロックされません。例えば、repository 引数に無関係なサードパーティ製のリポジトリを設定してもブロックされることはありません。特権イベント内で信頼できないコードをチェックアウトして実行することは依然として「pwn リクエスト」のリスクであり、レビューが必要 remains です。 この保護機能からのオプトアウト 一部のワークフローでは、フォークされたプルリクエストのコードを高い信頼性でチェックアウトする必要があり、これが pull_request_target が最初に作成された理由です。例えば、プライベートなアーティファクトレジストリを必要とするカバレッジレポートの生成や、プルリクエストから導入された変更に対して認証済みチェックを実行・実行するケースなどが該当します。これらのワークフローが引き続き機能できるようにオプトアウト機能を維持していますが、オプトアウトは意図的なセキュリティ上の判断として扱うべきです。 オプトアウトを行う前に、pull_request_target を安全に使用するためのガイダンスをお読みください。イベントが必要であり、ワークフロー内で安全に使用されることを確認した後、actions/checkout ステップに allow-unsafe-pr-checkout 入力パラメータを追加することで、この保護機能からのオプトアウトが可能です。このフラグはコードレビューや静的解析で容易に目立つように意図的に命名されています。 詳細の参照とフィードバックの提供 詳細については、actions/checkout リポジトリ、pull_request_target に関する GitHub Actions のドキュメント、および GitHub Actions 向けのセキュリティ強化ガイダンスをご覧ください。 The post Safer pull_request_target defaults for GitHub Actions checkout appeared first on The GitHub Blog. GitHub Actions の checkout アクションにおける pull_request_target デフォルトの安全性向上に関する記事は、最初に The GitHub Blog で公開されました。

GitHub Actions の checkout における pull_request_target イベントのデフォルト設定をより安全に

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト