tj-actions changed-files GitHub Action の脆弱性（CVE-2025-30066）

何が起きた

GitHub Actions（GitHub 上で自動で作業を動かす仕組み）用の tj-actions/changed-files で、攻撃者が v1 から v45.0.7 までのタグを、悪意のあるコードを含むコミット 0e58ed8 に向け直しました。この状態で動いたワークフローでは、秘密の情報（シークレット）がワークフローのログに書き出され、ログを読んだ人に知られるおそれがありました。NVD の評価では、ログイン不要の攻撃者が離れた場所から悪用でき、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

2025-03-14 と 2025-03-15 に、tj-actions/changed-files を使って動いたワークフローが対象です。CVE の記録では、46 より前の版が影響を受けるとしています。メーカーの勧告では、ワークフローのログを公開しているリポジトリが特に危ないとしています。

何をすればいい

tj-actions の勧告では修正版を 46.0.1 としています。3月14日から3月15日に動いたワークフローのログで changed-files の部分に見慣れない出力がないかを確かめ、秘密の情報が出ていたらすぐに無効にして作り直してください。悪意のあるコミットをハッシュ値で直接指定している場合は、すぐに指定を変えます。念のため、この期間に出たおそれのある秘密の情報は作り直してください。あわせて、tj-actions の公式の案内を確認してください。

やることチェックリスト

• 3月14日から15日のワークフローのログを調べる
• 出ていたシークレットを無効にして作り直す
• 悪意あるコミットの直接指定をやめる

用語メモ

GitHub Actions

GitHub 上で、テストやビルドなどの作業を自動で動かす仕組みです。

シークレット

パスワードやアクセス用の鍵など、ワークフローの中で使う秘密の情報です。

タグ

プログラムの特定の版に付ける名札です。付け替えると、同じ名前で別の中身を指すようにできます。