信頼できないトリガーに対する GitHub Actions キャッシュの読み取り専用化

GitHub Actions は、リポジトリへの書き込み権限なしにトリガーできるワークフローイベントに対して、デフォルトブランチのキャッシュに対して読み取り専用トークンを発行するようになりました。これにより、キャッシュに対する最小特権の原則が適用され、キャッシュ汚染を介した一般的な権限昇経路が防止されます。 以前は、Actions サービスは pull_request_target、issue_comment、fork-pull-request の workflow_run カスケードなどのトリガーを含むすべてのワークフローイベントに対して読み書き可能なキャッシュトークンを発行していました。外部アクターが影響を与える可能性のある（例えば、スクリプト注入や「pwn リクエスト」を通じて）ワークフローコードがデフォルトブランチのキャッシュに書き込みを行うと、push や schedule といった信頼されたワークフローが後でその汚染されたエントリを復元してしまいます。これにより、これらのより信頼されたワークフロー内で任意のコードを実行したり、本番環境のシークレットを外部へ流出させたりする経路が開かれていました。 この経路を塞ぐため、GitHub は以下の 2 つがともに真である場合に読み取り専用のキャッシュトークンを発行します： トリガーイベントが信頼できないこと。つまり、リポジトリのコラボレーター以外の誰かがそのイベントをトリガーできる状態であること。 ワークフローの実行コンテキストとキャッシュのスコープが、共有されたデフォルトブランチの SHA に由来すること。 デフォルトブランチのキャッシュに書き込みを行う最も一般的なワークフロートリガーは、完全な読み書きキャッシング権限を維持します。これらのトリガーには、push、schedule、workflow_dispatch、repository_dispatch、delete、registry_package、page_build が含まれます。また、pull_request や release のように非デフォルトブランチのスコープを使用するすべてのトリガーも、読み書きキャッシング権限を保持します。 影響を受ける人々 この変更は、デフォルトブランチの SHA コンテキストからキャッシュへ書き込む限られた数の信頼できないワークフローにおけるキャッシング機能に後退をもたらします。書き込みが制限された場合、actions/cache は実行中に警告をログ出力し、ジョブは保存せずに続行されます。復元操作には影響はありません。 これらのワークフローでキャッシングの恩恵を維持するには、push などのイベントによってトリガーされ、キャッシュへの読み書きアクセス権を持つ別個のワークフローを用意する必要があります。これにより、キャッシュへの読み取り専用アクセス権を持つ後続のワークフローがキャッシュを復元して利用できるようになります。 この変更は、github.com およびデータ居住性を備えた GitHub の両方に適用されます。詳細については GitHub Actions キャッシュドキュメントをご参照ください。また、GitHub コミュニティでの議論にもご参加ください。 「信頼できないトリガーに対する読み取り専用 Actions キャッシュ」という記事は、最初に The GitHub Blog で公開されました。

信頼できないトリガーに対する GitHub Actions キャッシュの読み取り専用化

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト