ثبّت GitHub Actions على commit لا على وسم

أمس اختُرقت أداة Trivy من Aqua Security، وهي أداة شهيرة مفتوحة المصدر لفحص الثغرات. نُشر إصدار فيه باب خلفي، ودفع المهاجمون بالقوة كل وسوم الإصدارات تقريبًا في GitHub Action المسمى trivy-action إلى commits خبيثة. أي خط بناء يستخدم aquasecurity/trivy-action@v0.x شغّل كودًا يسرق الأسرار المتاحة لذلك الـworkflow.

أداة فحص أمني كانت هي الطريق. والمفارقة لا تجعل الأمر أقل خطورة.

إن استخدمتها في الأيام الأخيرة، فاعتبر أسرار CI مسروقة وغيّرها: مفاتيح السحابة، ورموز السجلات، ومفاتيح النشر، ورموز نشر الحزم.

لكل action تستخدمه:

• ثبّته على SHA كامل للـcommit، مع رقم الإصدار في تعليق. الوسوم يمكن تحريكها، والـcommits لا.
• دع Dependabot أو Renovate يقترح التحديثات، واقرأها.
• أعطِ الـworkflows أصغر كتلة permissions، وأبعد رموز النشر عن المهام التي تشغّل أدوات طرف ثالث.