Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitHub Action tj-actions/changed-files opravuje vysoko závažnú zraniteľnosť
GitHub Action tj-actions/changed-files vo verziách 46.0.1 opravuje vysoko závažnú zraniteľnosť [1][2].
Neautentizovanému vzdialenému útočníkovi je umožnené získať tajné údaje (Secrets) [3] z CI/CD prostredia z dôvodu ich zápisu do výstupných logov GitHub Actions, ak sú tieto logy verejne dostupné. Zraniteľnosť bola spôsobená kompromitáciou akcie a spätnou zmenou tagov verzií tak, aby odkazovali na škodlivý commit [2][4]. Detailné informácie k zraniteľnosti a odporúčanému postupu nájdete na [4][5]. Zraniteľnosť je už aktívne zneužívaná [6].
Zraniteľnosť sa nachádza v produkte:
- *:tj-actions/changed-files;<=45.0.7;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2025-30066 na cve.org, NVD
- CWE-506: Embedded Malicious Code na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 15. 3. 2025.
Odkazy
- [1] https://github.com/tj-actions/changed-files/releases/tag/v46.0.1
- [2] https://github.com/advisories/GHSA-mrrh-fwg8-r2c3
- [3] https://docs.github.com/en/actions/security-for-github-actions/security-guides/about-secrets
- [4] https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised
- [5] https://semgrep.dev/blog/2025/popular-github-action-tj-actionschanged-files-is-compromised/
- [6] https://www.cisa.gov/news-events/alerts/2025/03/18/cisa-adds-two-known-exploited-vulnerabilities-catalog
Za CESNET, z.s.p.o. Michaela Ručková dňa 20. 3. 2025.