GitHubのIssueやPull requestsにアップロードした画像の削除 - coincheck tech blog

はじめに サイバーセキュリティ推進部の吉田です。普段は、CSIRTメンバーとしてAWS環境や各種端末のモニタリング、セキュリティインシデント対応、社内からのサイバーセキュリティに関する相談対応などの業務を行っています。 2023/05/10 追記 GitHubのアップデートによって、プライベートリポジトリのIssueやPull Requestsに新たにアップロードされたファイルは、権限を持たない外部からは参照できなくなったようです。詳細につきましては、以下のGitHubのブログをご確認ください。 https://github.blog/changelog/2023-05-09-more-secure-private-attachments/ 概要 GitHubのIssueやPull requestsに添付した画像はWebにアップロードされ、パブリックなURLが割り当てられます。このURLは

[fock]

業務用ならGHEを使うべきでは

[dorapon2000]

“まずはGitHubの公式ドキュメントから「IssueやPull requestsに添付した画像の削除」について調べてみたところ、アップロードしたファイルのURLの公開についての注意は記載されていましたが、”

[Fushihara]

これ気になってプライベートレポジトリで確認してるけど年単位で昔の削除済みファイルのリンク生きてるんだよなあ

[kubecorn]

GHEでなく普通のGitHub使ってる場合は知っておくべき知見ですね。知らんかった…

[tkysktmt]

“IssueやPull requestsに添付した画像はWebにアップロードされ、パブリックなURLが割り当てられます。このURLは外部に対して公開されており、そのリポジトリがPrivateであったとしても誰でも自由にアクセスが可能” そうなんだ

[uxoru]

“IssueやPull requestsに添付した画像はWebにアップロードされ、パブリックなURLが割り当てられます。このURLは外部に対して公開されており、そのリポジトリがPrivateであったとしても誰でも自由にアクセスが可能です。” ま？

[hase0510]

GitLabは対処したのに https://gitlab.com/gitlab-org/gitlab/-/issues/26781

[masawada]

これずっと前からGitHubに要望出してるけど未だに対処されてない

[yatmsu]

ほほう？

[naopontan]

“情報流出には該当せず脅威はありませんでした。しかしながら、アップロードした画像が機密情報であった場合には、セキュリティインシデントとなる可能性があります。このことから社内ルールの見落としには注意しな

[issyurn]

“GitHubのIssueやPull requestsに添付した画像はWebにアップロードされ、パブリックなURLが割り当てられます。このURLは外部に対して公開されており、そのリポジトリがPrivateであったとしても誰でも自由にアクセスが可能です”

[yarumato]

“添付した画像はURLがわかると外部からアクセスできる（Enterprise版なら外部アクセス不可にできる）。添付画像の削除は、GitHub Supportに依頼するしかない。アップロードした本人が削除依頼したならすぐ削除してくれる”

[asuka0801]

今のうちは画像自体はpublicでも全くリンク知らない人がアクセス困難だから問題になってないけど、そのうち悪意あるクローラーが出てくると問題になるやつ

[yujiorama]

非テキスト情報もあるほうが間違いなく便利なので認証認可して欲しい。GitHubがやってないだけなので。

[fog-og-frog2]

無知は罪…(マジかよ、知らんかった)

[remonoil]

"Privateであったとしても誰でも自由にアクセスが可能です" マジか。確かに原理考えるとそうなるよね。いろいろ漏れてそう注意

[hirorock]

GitHubに画像添付するとパブリックなURLになるので注意

[side_tana]

privateでもその挙動なんだ、基本的には大丈夫と思うけど、会社の扱ってる情報によってはまずいし 退職者とかが見れるのはそこそこまずそうだなー

[a-know]

知見だ

[everybodyelse]

え、マジ。結構ヤバいな。

[mapk0y]

GHE でも同じ挙動（ドメインが独自とはいえ、認証無しで見ることができる）だし、この記事で書かれているような自前のサーバを用意して連携するような機能は無いはず

[fumikony]

これなー

[joltkun]

パンドラの箱を開けてはならぬ。。

[t_motooka]

これはうちも古いデータについて真面目に考えなくちゃいけないやつ。いつかやる。。