tj-actions/changed-files 2025年 書き換えられたタグとCIの秘密

GitHub Actions のタグは、書き込みの権限があれば別のコミットへ付け替えられる。タグで呼んでいた CI は、付け替えた先のコードを、そのジョブの秘密ごと動かした。1つの部品の CI から漏れたトークンが次の部品のタグを書き換え、2万3千を超えるリポジトリが使う部品に届いた。

CVE-2025-30066。CVSS 3.1 の基本値は8.6、CWE-506 埋め込まれた悪意あるコード[1][2]。影響は v1 から v45.0.7 のタグで、2025年3月14日と15日に悪いコミットを指した。修正は 46.0.1[1][2]。前段の reviewdog/action-setup の件は CVE-2025-30154[5]。保守者は2025年3月15日に、悪いコミットを全部のタグと枝から除き、タグの保護と署名つきのコミットの必須を入れたと書いた[4]。2026年11月時点の公開資料で書いています。

何が起きたか

通った道筋

• ログへ出したのは秘密そのものではなく、符号にした値である。符号にした値は元の秘密の文字列と一致しないので、ログの伏せ字を当てにできない。CISA が2重の Base64 に注意を促したのはこのためである[7]。
• 外へ送るのでなくログへ出したため、外への通信を絞っても漏れは止まらない。ただし、悪いコードは公開の gist から処理を取ってきており、その外への通信で見つかった[2]。

タグと、ハッシュでの固定

次は架空の組織 example-org の部品を使う、架空の CI の定義である。

悪い例。タグで呼び、広い権限で動かす

permissions: write-all
jobs:
  lint:
    runs-on: ubuntu-latest
    steps:
      - uses: example-org/changed-files@v45   # タグは付け替えられる
      - run: ./deploy.sh
        env:
          CLOUD_KEY: ${{ secrets.CLOUD_KEY }}

直した例。コミットのハッシュで固定し、権限と秘密を絞る

permissions:
  contents: read
jobs:
  lint:
    runs-on: ubuntu-latest
    steps:
      - uses: example-org/changed-files@4f2a9c1e7b3d5a6c8e0f1a2b3c4d5e6f7a8b9c0d  # v46.0.1
  deploy:
    needs: lint
    environment: production   # 承認の要る環境にだけ本番の秘密を置く
    runs-on: ubuntu-latest
    steps:
      - run: ./deploy.sh
        env:
          CLOUD_KEY: ${{ secrets.CLOUD_KEY }}

• GitHub の文書は、外部のアクションをコミットのハッシュで固定するよう求め、作者を信頼していても、リポジトリに入られればタグは動かされたり消されたりすると書く。ハッシュを選ぶときは、fork ではなくそのアクションのリポジトリのものかを確かめるよう求める[9]。
• 部品を使うジョブと、本番の秘密を使うジョブを分ける。この件の悪いコードはジョブのプロセスのメモリを読んだ[2]。同じジョブに秘密が無ければ、読む物が無い。

2026年11月時点の GitHub の文書は、推移的な依存まで含めて全部のアクションのコミットを記録し、実行時に出どころのリポジトリを確かめるロックファイルを、最も強い守りとし、ハッシュでの固定に代わるものとしている[9]。GitHub は2025年8月15日から、ハッシュで固定していないアクションを使うワークフローを失敗させる決まりを、企業、組織、リポジトリの単位で掛けられるようにした[10]。

どこで止められたか

守り方

型としての整理は A03 ソフトウェアサプライチェーンの不備 の型3、ビルドと配布の仕組みを乗っ取られる型に当たる。悪い版が範囲指定で届いた先例は event-stream 2018年、配布物にだけ仕込まれた先例は xz utils 2024年 にある。

AIが書く CI の定義

• AIのコーディングの道具にワークフローを書かせると、アクションを版のタグで呼ぶ定義を出しがちである。差分で uses: の行を見て、ハッシュでなければ直させる。固定の考え方は AIが持ち込む部品の危険 の固定する節にある。
• AIは、動かないと言われた CI を直すために permissions: write-all を足したり、個人用のトークンを秘密に置く案を出したりする。権限を広げる差分は、人がその権限が要る理由を確かめてから入れる。

参照

1. CVE-2025-30066 NIST NVD
2. tj-actions changed-files through 45.0.7 allows remote attackers to discover secrets by reading actions logs GHSA-mrrh-fwg8-r2c3 GitHub Advisory Database、2025年3月15日
3. Multiple tags in this action are compromised tj-actions/changed-files の issue 2463、2025年3月14日
4. Pretty sure this repo got hacked tj-actions/changed-files の issue 2464、保守者の2025年3月15日と16日の書き込み
5. CVE-2025-30154 NIST NVD、2025年3月19日公表
6. Security Advisory Supply Chain Attack on reviewdog GitHub Actions during a specific time period reviewdog の保守者、2025年3月18日、3月23日の追記
7. Supply Chain Compromise of Third-Party tj-actions/changed-files CVE-2025-30066 and reviewdog/action-setup@v1 CVE-2025-30154 CISA、2025年3月18日、3月26日改訂
8. GitHub Actions Supply Chain Attack: A Targeted Attack on Coinbase Expanded to the Widespread tj-actions/changed-files Incident Palo Alto Networks Unit 42、2025年3月20日、4月2日更新。調査会社の調べ
9. Secure use reference GitHub Docs、2026年11月に参照
10. GitHub Actions policy now supports blocking and SHA pinning actions GitHub Changelog、2025年8月15日