GitHub

GitHub Actionsのコマンドインジェクションとワークフロー実行時のセキュリティについての文書です。

文書一覧

文書	パス
GitHub Actionsのrunブロックにおけるコマンドインジェクション	`cicd/github/run_block_injection`
GitHub Actionsのscriptブロックにおけるコードインジェクション	`cicd/github/script_block_injection`
GitHub Actions が完全なコミット SHA に固定されていない	`cicd/github/unpinned_actions_full_length_commit_sha`
GitHub Actionsで非セキュアなコマンドが許可されている	`cicd/github/unsecured_commands`

関連ページ4

GitHub Actionsのrunブロックにおけるコマンドインジェクション

GitHub Actionsの信頼できないイベント値は、シェルコードへ直接埋め込まずデータとして渡してください。

GitHub Actionsのscriptブロックにおけるコードインジェクション

actions/github-scriptに外部の値をコードとして埋め込まず、JavaScriptのデータとして渡してください。

GitHub Actions が完全なコミット SHA に固定されていない

外部アクションを確認済みの完全なコミット SHA に固定し、参照コードの予期しない変更を減らしてください。

GitHub Actionsで非セキュアなコマンドが許可されている

GitHub Actionsで非セキュアなコマンドを許可する設定を削除し、環境ファイルを使用してください。