GitHubは11月2日（現地時間）、12月2日からGitHub Actionsのpull_request_targetイベントを、すべてのパブリックリポジトリでデフォルトでブロックすると発表した。該当するActionsイベントポリシーで明示的に許可した場合を除く。当初は11月2日開始の予定だった。プライベートおよびインターナルリポジトリは対象外。
同イベントはベースリポジトリのコンテキストで実行され、シークレットにアクセスできるため、フォークの信頼できないコードを実行すると、パイプラインの侵害やシークレットの窃取につながるおそれがある。ルールは当初評価モードで動作し、ブロック対象の実行を事前に確認できる。
恒久適用前の11月9日と16日の16時～18時（UTC）には、一時的に適用するブラウンアウトを実施する。期間中、ブロックされたワークフローは実行されず、エラーアノテーション付きで失敗する。
利用者はInsightsで影響を確認し、必要に応じてイベントポリシーで明示的に許可できる。対象はGitHub Free、Team、Enterprise Cloudで、GitHub Enterprise Serverは対象外。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
