Gh Actions - Artifact Poisoning
Artifact Poisoning
Il existe plusieurs Github Actions qui permettent de télécharger des artefacts depuis d'autres dépôts. Ces autres dépôts auront généralement une Github Action pour téléverser l'artefact qui sera ensuite téléchargé.
Si un attaquant peut d'une manière ou d'une autre compromettre la Github Action, il pourra compromettre l'artefact téléversé ce qui pourrait lui permettre de compromettre d'autres workflows qui l'utilisent.
Exemple de téléchargement d'artefact depuis un dépôt différent :
Pour plus d'informations et des options de défense (comme le codage en dur de l'artefact à télécharger), consultez https://www.legitsecurity.com/blog/artifact-poisoning-vulnerability-discovered-in-rust
Last updated
