C
月内に
GitHubのIssue機能を悪用し、1時間以内に61の公開リポジトリを標的としたサプライチェーン攻撃キャンペーン
📌 一言でいうと
GitHubのIssue機能を悪用し、1時間以内に61の公開リポジトリを標的としたサプライチェーン攻撃キャンペーンが確認されました。攻撃者はCI/CD環境でコマンドを実行させ、認証情報やアクセストークンを窃取することを目的としています。Google LangExtract、Trivy、Brave browser、MLflowなどの著名なオープンソースプロジェクトが影響を受けています。
🔍該当判定
- GitHubで『パブリック（公開）』設定のリポジトリを運用している
- GitHub ActionsなどのCI/CDツールを利用して、自動ビルドやデプロイを行っている
- Google LangExtract, Trivy, Brave browser, MLflowなどのオープンソースプロジェクトを自社開発に組み込んでいる
上記いずれにも該当しない → 静観でOK
✅該当時の対応
CI/CDワークフローのトリガー設定を見直し、信頼できないユーザーによるIssue作成などで自動的に機密権限を持つワークフローが実行されないよう制限すること。また、シークレット（トークン等）の最小権限原則を徹底し、定期的なローテーションを実施することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub CI/CD環境を標的としたサプライチェーン攻撃について
お疲れさまです。GitHubのIssue機能を悪用した攻撃キャンペーンに関する情報共有です。
■ 概要
攻撃者がGitHub Issueを通じてCI/CDワークフローを不正にトリガーし、環境変数から認証情報やアクセストークンを窃取する攻撃が観測されています。短時間で多数の著名プロジェクト（Trivy, Brave等）が標的となりました。
■ 影響範囲
- GitHubで公開リポジトリを運用し、Issue作成等で自動的にCI/CDワークフローが起動する設定になっているプロジェクト
■ 対応手順
1. GitHub Actions等のワークフロー設定を確認し、外部ユーザーによるトリガーで機密情報にアクセス可能な権限が付与されていないか検証する
2. ワークフロー内で使用しているGitHubトークンやシークレットの権限を最小限に制限する
3. 不審なIssueやプルリクエストによるワークフロー実行履歴がないかログを確認する
■ 参考情報
- Radware Threat Intelligence
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。GitHubのIssue機能を悪用した攻撃キャンペーンに関する情報共有です。
■ 概要
攻撃者がGitHub Issueを通じてCI/CDワークフローを不正にトリガーし、環境変数から認証情報やアクセストークンを窃取する攻撃が観測されています。短時間で多数の著名プロジェクト（Trivy, Brave等）が標的となりました。
■ 影響範囲
- GitHubで公開リポジトリを運用し、Issue作成等で自動的にCI/CDワークフローが起動する設定になっているプロジェクト
■ 対応手順
1. GitHub Actions等のワークフロー設定を確認し、外部ユーザーによるトリガーで機密情報にアクセス可能な権限が付与されていないか検証する
2. ワークフロー内で使用しているGitHubトークンやシークレットの権限を最小限に制限する
3. 不審なIssueやプルリクエストによるワークフロー実行履歴がないかログを確認する
■ 参考情報
- Radware Threat Intelligence
対応優先度: 高
対応期限: 速やかに確認
Subject: [Security Alert] Supply Chain Attack Targeting GitHub CI/CD Environments
Dear Team,
We are sharing information regarding a coordinated campaign exploiting GitHub Issues to target CI/CD pipelines.
■ Overview
Attackers are leveraging GitHub Issues to trigger vulnerable CI/CD workflows, aiming to execute arbitrary commands and steal credentials or access tokens. This campaign targeted 61 public repositories, including high-profile projects like Trivy and Brave browser, in under an hour.
■ Scope
- Public GitHub repositories with CI/CD workflows that are automatically triggered by events (e.g., issue creation) and have access to sensitive secrets.
■ Mitigation Steps
1. Review CI/CD workflow triggers to ensure that untrusted users cannot trigger workflows with elevated privileges.
2. Apply the principle of least privilege to all GitHub Actions secrets and tokens.
3. Audit workflow execution logs for any unauthorized or suspicious activity triggered by external contributors.
■ Reference
- Radware Threat Intelligence
Priority: High
Deadline: Immediate review
Dear Team,
We are sharing information regarding a coordinated campaign exploiting GitHub Issues to target CI/CD pipelines.
■ Overview
Attackers are leveraging GitHub Issues to trigger vulnerable CI/CD workflows, aiming to execute arbitrary commands and steal credentials or access tokens. This campaign targeted 61 public repositories, including high-profile projects like Trivy and Brave browser, in under an hour.
■ Scope
- Public GitHub repositories with CI/CD workflows that are automatically triggered by events (e.g., issue creation) and have access to sensitive secrets.
■ Mitigation Steps
1. Review CI/CD workflow triggers to ensure that untrusted users cannot trigger workflows with elevated privileges.
2. Apply the principle of least privilege to all GitHub Actions secrets and tokens.
3. Audit workflow execution logs for any unauthorized or suspicious activity triggered by external contributors.
■ Reference
- Radware Threat Intelligence
Priority: High
Deadline: Immediate review