GitHub Actions 認証情報ごとのリスクから読み解く、権限昇格パターンとその対策 - GMO Flatt Security Blog

はじめに こんにちは。GMO Flatt Security株式会社 セキュリティエンジニアの佐藤(@Nick_nick310)です。 本シリーズの前回記事では、GitHub Actionsに対する初期アクセスの手法と対策を解説しました。まだお読みでない方は、先に前回の記事をご覧いただくことをお勧めします。 GitHub Actionsのセキュリティを考える際、Script Injectionや信頼できないPull Requestのcheckoutといった初期アクセスに関わる問題が注目されることは少なくありません。しかし、実際の侵害を考えるうえでは、攻撃の入口だけでなく、その後にどのような権限昇格が可能かを見ることも重要です。初期アクセス時点では限定的に見える権限であっても、ワークフローの設定や認証情報の性質によっては、より強い権限を持つワークフローやsecretsへ到達できる場合があります

[nmemoto]

有益情報。Github Appはこれを使った接続の接続元のIPアドレスを設定できるから、これで使用される場所の限定はできるはず。

[nguyen-oi]

GHAの権限管理はマジで罠が多い。secrets: inheritを脳死で使うのやめるわ