GitHub Actions ArtiPACKED漏洞分析：GITHUB_TOKEN凭证泄露

[Security Report] Goshes - ArtiPACKED Vulnerability – GitHub Actions Credential Persistence 漏洞概述 漏洞名称: ArtiPACKED 严重等级: Critical (9.1/10) 发现时间: 2024年8月（Palo Alto Networks Unit 42） 报告者: jaisuya-me 审计工具: zizmor 核心问题: GitHub Actions 的 动作默认行为 会将临时 写入隐藏的 文件。当工作流步骤上传包含 目录的工件（artifact）时，该 token 会被公开下载，导致凭证泄露。 攻击流程简述: 1. 攻击者监控仓库，等待工作流运行（如 CodeQL 分析、发布等）。 2. 工作流启动时，GitHub 注入短生命周期 。 3. 步骤（未禁用凭证持久化）将 token 保存到 文件夹内。 4. 同一步骤上传包含 目录的工件（如测试报告、构建输出、日志等）。 5. 在工作流结束前（token 过期前），攻击者从 GitHub UI/API 下载公开工件。 6. 攻击者从工件中提取 token（通常在 中）。 7. 使用窃取 token（即使权限有限）推送恶意代码、创建 PR 或执行其他操作 —— 在原始工作流结束前。 > ⚠️ 重要澄清：token 不存储在源码中，而是由 GitHub 运行时动态创建。漏洞发生在运行时 token 被意外打包进可下载工件时。 --- 影响范围 受影响版本: v2.0.0-beta.5 已修复版本: v2.0.0-beta.6 受影响工作流文件: - - 潜在影响: 向主分支推送恶意代码 毒化发布或包 泄露其他密钥 供应链攻击影响下游用户 触发条件: 即使当前未显式上传整个工作区，未来变更、第三方动作或默认工件行为也可能触发泄露。 --- 修复方案 1. 修复 ArtiPACKED（Critical） 在每个 步骤中添加： 2. 修复高严重性发现：未固定动作引用 以下文件违反安全策略（需固定到完整 SHA）： 修复方式: 将版本号替换为完整 SHA（例如 → ） --- 参考链接 官方研究: ArtiPACKED: Hacking Giants Through a Race Condition in GitHub Actions Artifacts (2024年8月) 新闻覆盖: GitHub Vulnerability 'ArtiPACKED' Exposes Repositories to Potential Takeover Reporter: jaisuya-me

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

GitHub Actions ArtiPACKED漏洞分析：GITHUB_TOKEN凭证泄露

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

GitHub Actions ArtiPACKED漏洞分析：GITHUB_TOKEN凭证泄露

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！