GitHub Actionsを使ったDDoSに巻き込まれた - 私が歌川です

事例集です。 きのう、GitHubの通知を見たら、個人のリポジトリに My First PR というタイトルのPRが来ているのに気づいた。PR出すところを間違えたのかな、と思って見てみたがどうも様子がおかしい。 prog という名前のバイナリファイルを置いている .github/workflows/ci.yml*1の中身をガッと書き換えている on: [pull_request] でworkflowを起動している 20並列でjobが走るようにmatrixを設定している fail-fast: false なので、どれか1つのmatrixが失敗しても他のジョブは続行される base64 encodeした文字列をdecodeしてevalしている ドメインの名前解決を行ったあと ./prog を実行するコマンドにdecodeされた PRをめちゃくちゃな回数closeしてreopenしている PRを

[nanamae]

無料実行環境見つけるとすぐ悪いこと始める輩ほんと嫌い

[bayashi_net]

コアなメンテナ以外からのPRは自動でworkflow走らせないオプション登場かな

[pullphone]

こわっ / 公式・マケプレにあるの限定とか、そもそもフォーク元で作られたやつじゃないと動かないように設定出来るっぽい https://docs.github.com/en/github/administering-a-repository/disabling-or-limiting-github-actions-for-a-repository

[katsyoshi]

マイニングにつかえそうだな？

[laiso]

これは豪快な悪用例だ…

[aikawame]

エンジニアとしては感心するけど、人としてはクソなやつ。

[kamocyc]

悔しいがこの発想は無かった。セキュアなものを作るには常に悪用手段が無いかを考える必要...

[Kesin]

Jenkinsのpull-reqトリガーするプラグインにオーナー以外の人からのPRの場合はオーナーが特定のコメントをしないとJenkinsでビルドが走らないという機能があるのだけど、多分Jenkins全盛期にもこういう問題あったのだろうな

[ed_v3]

なるほど。まだ新しい機能だから多少はしょうがない気がする。なんにしろ共有有り難い。

[oakbow]

割と早期に盛大にやらかしてくれたおかげで穴を塞げたと思えばまあ良いのかも…。まともにメンテされてないパプリックリポジトリで地味にやられると面倒だし。次はそうしてきそうだけど

[tasshi820]

こわ。ちゃんとActionの実行権限設定しとかないと。

[nilab]

「GitHubの通知を見たら、個人のリポジトリに My First PR というタイトルのPRが来ているのに気づいた」「任意コードをいくらでも並列に実行できる環境があちこちに転がっているということに」

[take_she12]

わるい話だ

[gayou]

悪い事考える人がいるもんだ。

[isrc]

GitHub Actionsについてちょっと考えてみると、任意コードをいくらでも並列に実行できる環境があちこちに転がっているということになって、攻撃者にとっては魅力的ではありそう。そういう使い方をしないでほしい。

[indication]

変なPRが来て、travis-ciで認証情報がなく、事前ciがコケてたのは、この事をやりたかったのかな

[tkancf]

なるほどなぁ。嫌な悪用例だ

[side_tana]

地獄っぽい

[dot]

なるほどなー。

[ryuichi1208]

よく思いつくなぁと、、やってる事は最低だけど

[tettekete37564]

年収査定かな？

[kkamegawa]

なるほど…色々考える人がいるなぁ。

[koogawa]

これは悪質だなぁ

[tune]

確かにできそう、悪用との戦いはいつも虚しい

[hakobe932]

やべえ

[knok]

そうだよなあ、任意コード実行し放題だよなあ

[kasssssy]

なるほどー

[p1ass]

フォーク先からの新規アクションを制限するやつ欲しい

[takeshiketa]

面白い

[n_231]

webで出来ることはやる奴が出てくる。

[sonots]

ho-n

[sds-page]

穴があればすぐに悪用される修羅の世界

[yhoriz]

こわい　せめてGPGの設定はしとこ……

[honeybe]

いろいろなことをおもいつくなぁ

[rjge]

利便性高くて悪意にも強くするのって難しそう

[eru01]

PRの自動CIこういうん絶対起きるよなと思ってたけどやっぱり起きるわな