CVE-2025-30066

Nome do Software Vulnerável e Versões Afetadas tj-actions/changed-files versões anteriores a 46.0.1

Description Um ataque de cadeia de suprimentos atingiu o GitHub Action tj-actions/changed-files, afetando mais de 23.000 repositórios. Um agente de ameaças comprometeu o token de acesso pessoal de uma conta de bot para injetar código malicioso na ação. Entre 14 e 15 de março de 2025, o invasor modificou retroativamente as tags de versão (incluindo de v1 a v45.0.7) para apontar para o commit malicioso 0e58ed8. Este commit introduziu a função updateFeatures(), que executava um payload Node.js ofuscado. O payload baixava um script Python chamado memdump.py de um GitHub Gist, que vasculhava a memória do processo Runner Worker para extrair segredos de CI/CD sensíveis, como chaves de acesso AWS, Tokens de Acesso Pessoal (PATs) do GitHub, tokens npm e chaves privadas RSA. Esses segredos eram então codificados duas vezes em base64 e impressos nos logs de compilação do GitHub Actions, tornando-os acessíveis a qualquer pessoa com acesso aos logs, especialmente em repositórios públicos.

Recommendations Atualize o tj-actions/changed-files para a versão 46.0.1. Rotacione todos os segredos, tokens de API e chaves privadas que foram utilizados em fluxos de trabalho entre 14 e 15 de março de 2025. Revise os logs de workflow do período afetado em busca de strings suspeitas com codificação dupla e decodifique-as para identificar credenciais vazadas. Fixe as GitHub Actions em SHAs de commit específicos em vez de usar tags de versão para evitar futuros comprometimentos de cadeia de suprimentos.