Gh Actions - Artifact Poisoning
Artifact Poisoning
Es gibt mehrere Github Actions, die es ermöglichen, Artefakte aus anderen Repositories herunterzuladen. Diese anderen Repositories haben normalerweise eine Github Action, um das Artefakt hochzuladen, das später heruntergeladen wird.
Wenn ein Angreifer die Github Action irgendwie kompromittieren kann, wird er in der Lage sein, das hochgeladene Artefakt zu kompromittieren, was ihm ermöglichen könnte, andere Workflows zu kompromittieren, die es verwenden.
Beispiel für den Download eines Artefakts aus einem anderen Repository:
Für weitere Informationen und Verteidigungsoptionen (wie das Hardcodieren des herunterzuladenden Artefakts) siehe https://www.legitsecurity.com/blog/artifact-poisoning-vulnerability-discovered-in-rust
Last updated
