Was ist passiert?
GitHub hat eine wichtige Sicherheitsaktualisierung für die „actions/checkout“-Action angekündigt, die ab dem 18. Juni 2026 in Kraft tritt. Die Änderung zielt darauf ab, sogenannte „Pwn Request“-Angriffe zu blockieren, die das risky „pull_request_target“-Workflow-Trigger-Event ausnutzen. Diese Attacken ermöglichen es Angreifern, mit den vollen Privilegien des Workflows bösartigen Code auszuführen.
Hintergrund & Bedeutung
Das „pull_request_target“-Event ist eine häufige Sicherheitsfalle in der CI/CD-Pipeline. Im Gegensatz zum Standard „pull_request“-Trigger hat dieses Event Zugriff auf sensitive Geheimnisse und Token des Workflows. Angreifer können diese Schwachstelle nutzen, indem sie präparierte Pull Requests einreichen, die Malware oder Code-Injection-Exploits enthalten. Die neue Schutzmaßnahme von GitHub adressiert dieses kritische Supply-Chain-Risiko direkt in der am häufigsten genutzten Checkout-Action.
Empfehlungen fuer IT-Teams
Sofortige Maßnahmen:
- Überprüfen Sie alle Workflows, die „pull_request_target“ verwenden
- Implementieren Sie explizite Eingabevalidierung und Code-Reviews für externe PRs
- Nutzen Sie separate Workflows mit eingeschränkten Permissions für untrusted Code
- Aktualisieren Sie „actions/checkout“ auf die neueste Version nach Juni 2026
Fazit
Diese GitHub-Aktualisierung stellt einen wichtigen Fortschritt in der Supply-Chain-Sicherheit dar. Teams sollten ihre CI/CD-Pipelines proaktiv überprüfen und Best Practices für externe Contributor implementieren, um zukünftige Pwn-Request-Angriffe zu verhindern.
Quelle: Original Artikel