GitHub Actions の部品 tj-actions/changed-files が改ざん（CVE-2025-30066）— 開発用の鍵が漏れるおそれ

何が起きたか

2025年3月14日、GitHub で自動ビルドに使う部品「tj-actions/changed-files」が改ざんされているのが見つかりました。3月14〜15日の間、この部品を使うと、ビルド中の記録（ログ）にアクセスキーやトークンなどの秘密の情報が書き出される状態でした。管理用ボットのトークンが盗まれたことが原因とされ、別の部品 reviewdog/action-setup の改ざん（CVE-2025-30154）がきっかけだった可能性も指摘されました。米 CISA は両方を KEV に加えました。

影響を受けたのは

• この部品を使う2万3千以上のリポジトリ（漏れたおそれがある数で、実際に漏れた数ではありません）
• とくにログを誰でも見られる公開リポジトリ
• 外部のサーバーへ送られた形跡は見つかっていないとされます

自社で確認したいこと

• 該当期間に動いたビルドのログを確認し、使っていた鍵やトークンをすべて作り直す
• 修正版（v46.0.1）に更新する。部品は版名ではなく固定の番号（コミット）で指定する
• 自社の開発を外注している場合は、委託先に影響を確認する