B
今週中
Wizの研究者が、Snowflakeの公開リポジトリ（snowflake-connector-net）におけるGitHub Actionsのワークフロー注入の脆…
📌 一言でいうと
Wizの研究者が、Snowflakeの公開リポジトリ（snowflake-connector-net）におけるGitHub Actionsのワークフロー注入の脆弱性を発見しました。攻撃者が巧妙に作成したGitHub Issueを投稿することで、ワークフロー内でコマンド注入を実行し、内部のJira認証情報を窃取できる可能性があります。この問題はCI/CD自動化プロセスに限定されており、リリース済みの.NETコネクタ製品自体には影響がないとされています。
🔍該当判定
- 自社で『snowflake-connector-net』というGitHubリポジトリをフォークして利用している
- GitHub Actionsを用いて、Snowflake関連の自動化ワークフローを自社環境で構築・運用している
- GitHub Actionsのワークフロー内で、JiraのAPIトークンや認証情報を環境変数として設定している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
GitHub Actionsのワークフロー定義において、外部入力（issueのタイトルや本文など）をシェルコマンドに直接渡さないよう、適切なサニタイズまたはGitHubのコンテキスト変数の安全な利用を徹底してください。