reviewdog action-setup GitHub Action の脆弱性（CVE-2025-30154）

何が起きた

GitHub Actions（GitHub 上で自動で作業を動かす仕組み）用の reviewdog/action-setup@v1 が乗っ取られ、悪意のあるコードが入れられました。このコードは、ワークフローで使える秘密の情報（シークレット）を GitHub Actions のワークフローのログに書き出します。NVD の評価では、ログイン不要の攻撃者が離れた場所から悪用でき、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

2025年3月11日の 18:42 から 20:31（UTC）の間に、reviewdog/action-setup@v1 を使って動いたワークフローが対象です。reviewdog/action-setup@v1 を内部で使う reviewdog/action-shellcheck、reviewdog/action-composite-template、reviewdog/action-staticcheck、reviewdog/action-ast-grep、reviewdog/action-typos も、版や固定のしかたに関係なく影響を受けたとされています。

何をすればいい

reviewdog の案内に従い、まず自分のリポジトリが影響を受けたかを調べてください。今後に備えて、GitHub Actions はバージョンのタグではなくコミットのハッシュ値で固定し、使うアクションが内部で別のアクションをタグで呼んでいないかも確かめます。あわせて、reviewdog の公式の案内を確認してください。

やることチェックリスト

• 自分のリポジトリが影響を受けたか調べる
• アクションをコミットのハッシュ値で固定する
• 内部で別アクションをタグで呼んでいないか調べる

用語メモ

GitHub Actions

GitHub 上で、テストやビルドなどの作業を自動で動かす仕組みです。

シークレット

パスワードやアクセス用の鍵など、ワークフローの中で使う秘密の情報です。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。