Umgehung von GitHub Actions-Richtlinien: Eine triviale Umgehung scheinbar sicherer Richtlinien
2025-06-11
GitHub Actions bietet einen Richtlinienmechanismus, um die in einem Repository, einer Organisation oder einem Unternehmen verwendbaren Aktionen und wiederverwendbaren Workflows einzuschränken. Dieser Mechanismus ist jedoch leicht zu umgehen. Durch Klonen des Aktions-Repositories in das Dateisystem des Runners und anschließende Verwendung einer lokalen Pfadreferenz zum Ausführen derselben Aktion wird die Richtlinie trivial umgangen. Dies macht die scheinbar sichere Richtlinie wirkungslos. Der Autor fordert GitHub auf, diese Schwachstelle zu beheben, um zu verhindern, dass Entwickler fälschlicherweise glauben, dass die Richtlinien eine Sicherheitsgrenze bieten, die nicht existiert.
Entwicklung
Richtlinienumgehung