GitHub Actions、公的リポジトリの悪質ワークフローを自動保留に

　GitHubは7月28日（現地時間）、サプライチェーン攻撃対策の一環として、GitHub Actionsにおける悪質なワークフローを自動で保留する新機能を発表した。

　最近の攻撃では、流出したGitHub認証情報を利用し、CI/CD認証情報の窃取や追加攻撃を行う悪質なワークフローが公開リポジトリにプッシュされる事例が増えている。今回の強化策では、悪質と特定されたワークフロー実行は直ちに開始されず、リポジトリの書き込み権限を持つコラボレーターによるレビューと承認が必要となる。

　承認は認証済みウェブセッション経由で行う仕様で、承認後は通常通りワークフローが実行される。ユーザー側で追加の設定は不要で、github.com上の公開リポジトリに自動適用される。この保護は現在GitHub Enterprise Serverには適用されていない。