「FortiOS」脆弱性や不正コード混入「Githubアクション」の悪用に注意喚起 - 米政府

また「GitHub」において変更されたすべてのファイルとディレクトリを追跡できるGitHubアクション「changed-files」に判明した「CVE-2025-30066」が追加された。

プロジェクト「tj-actions」にて公開されているソースコードに、悪意のあるコミットが行われ、不正なコードを埋め込まれたことに起因。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.6」、重要度は「高（High）」とレーティングされている。

悪意あるコードが埋め込まれた状態では、リモートからアクションログを読み取ることができ、「AWSアクセスキー」「GitHub個人アクセストークン」「npmトークン」「RSAプライベートキー」をはじめとするシークレット情報を窃取されるおそれがある。

開発チームは、問題あるコミットをすべてのタグやブランチから削除。今後同様の問題が発生しないよう対応策を講じたと説明している。

（Security NEXT - 2025/03/19 ）ツイート