Obejście zasad GitHub Actions

GitHub Actions umożliwia łatwe obejście mechanizmu ograniczania użycia nieautoryzowanych akcji i przepływów pracy.

Mechanizm obejścia polega na klonowaniu repozytorium na dysk lokalny i użyciu akcji z lokalnego katalogu, zamiast bezpośredniego odwoływania się do zewnętrznych zasobów.

GitHub nie uznaje tego za problem z bezpieczeństwem, mimo że może prowadzić do fałszywego poczucia bezpieczeństwa u użytkowników.

Mechanizm zasad GitHub Actions mógłby być ulepszony przez włączenie lokalnych ścieżek do kategorii, które mogą być blokowane przez polityki.

Brak skutecznych mechanizmów zabezpieczeń może prowadzić do nieświadomego stworzenia powierzchni ataku w projektach używających GitHub Actions.