Compromiso por Retarget de Tags en GitHub Actions: Colapso de Confianza Mutable en Pipelines CI

Incident Overview (Without Journalism)

Tier A (confirmed): tj-actions/changed-files fue publicado como comprometido en GitHub Advisory Database (CVE-2025-30066), con versiones afectadas hasta 45.0.7, parche en 46.0.1 e indicación explícita de que múltiples tags fueron retargeteadas hacia un commit malicioso entre el 14 y el 15 de marzo de 2025.

Tier A (confirmed): El hilo de issue del mantenedor registra sospecha de tags comprometidas el 14 de marzo de 2025, y la release v46.0.1 incluye guía de incidente exigiendo revisión de ejecuciones de workflow en la ventana 14-15 de marzo y rotación inmediata de secretos cuando se detecte salida sospechosa tras decodificación.

Tier A (confirmed): CISA emitió una alerta por este compromiso y después vinculó actividad adyacente de compromiso en reviewdog/action-setup@v1 (CVE-2025-30154), ampliando el radio operativo hacia dependencias transitivas de Actions.

Tier B (inferred): El núcleo del incidente no fue solo ejecución de código malicioso; fue abuso de referencias mutables en la semántica de confianza de CI, donde muchas organizaciones trataban tags como anclas de gobernanza casi inmutables.

Tier C (unknown): La ruta completa de acceso inicial del atacante a los repositorios de Action implicados y el conjunto total de repositorios downstream con credenciales de alto valor materialmente expuestas no fue enumerado públicamente.

Bounded assumption statement: Las conclusiones arquitectónicas siguientes asumen que los workflows empresariales consumían al menos una action de terceros mediante tag mutable y mantenían secretos reutilizables de larga vida en el contexto del runner durante las ventanas de compromiso.

Primary institutional surface: Mission-Critical DevSecOps. Capability lines engaged: Reproducible and signed build pipelines; Policy-as-code enforcement; Immutable rollout and rollback control.

Failure Surface Mapping

Definición de superficie:

S = {C, N, K, I, O}
C: control plane
N: network layer
K: key lifecycle
I: identity boundary
O: operational orchestration

Fallos observados por capa:

Falla en C: la lógica de admisión de workflow confió en tags mutables como identidades estables de ejecución.
Falla en K: los secretos expuestos permanecieron válidos el tiempo suficiente para conservar utilidad para el atacante tras la divulgación en logs.
Falla en O: la contención de emergencia y la rotación forzada de secretos no fueron determinísticas en todos los repositorios.
Estrés en I: la confianza transitiva de actions amplió la delegación de identidad más allá de fronteras de aprobación explícita de la empresa.

Mapeo de clase de fallo:

Primaria: Byzantine (action_ref -> commit cambió de forma adversarial mientras seguía siendo sintácticamente válido).
Secundaria: Omission (ausencia de gate de política que exigiera pin a SHA inmutable y verificación de atestación).
Secundaria: Timing (latencia entre detección y revocación de credenciales creó ventana de explotación).

Formal Failure Modeling

Sea S_t el estado de seguridad del workflow antes de la ejecución t, y T(S_t) la transición producida por resolución de dependencias y ejecución del job.

Invariante requerido para ejecución segura de action:

I(S_t) = \big(\text{ref\_immutable}=1\big) \land \big(\text{provenance\_verified}=1\big) \land \big(\text{secret\_ttl} \le \tau\big)

Condición de ejecución admisible:

T(S_t)\ \text{admissible} \iff I(S_t)=1

Tier A (confirmed): Durante la ventana del incidente, tags mutables fueron repointadas a un commit malicioso en al menos una action ampliamente utilizada.

Tier B (inferred): Para cargas afectadas, ref_immutable=0 en tiempo de decisión; por tanto I(S_t)=0, pero la ejecución continuó.

Vínculo operativo: exigir política a nivel organización que bloquee ejecución de workflow cuando ref_immutable != 1 para actions de terceros.

Adversarial Exploitation Model

Clases de atacante:

A_passive: monitorea logs públicos de workflows para detectar fugas de credenciales.
A_active: modifica referencias de action o artefactos de release para introducir comportamiento de volcado de secretos.
A_internal: abusa privilegios de mantenedor o de automatización de release.
A_supply_chain: pivota por dependencias transitivas de actions.
A_economic: monetiza credenciales filtradas mediante takeover de infraestructura o posicionamiento en cadena de suministro secundaria.

Modelo de presión de explotación:

E = \Delta t \times W \times P_s

Donde:

\Delta t: latencia desde ejecución comprometida hasta revocación de secretos.
W: ancho de frontera de confianza (cantidad de repositorios y workflows que confían implícitamente en referencias mutables).
P_s: alcance efectivo de privilegio de credenciales filtradas.

Tier A (confirmed): La guía de incidente exigió auditoría de ejecuciones en ventanas temporales específicas y rotación de secretos potencialmente expuestos.

Tier B (inferred): En organizaciones grandes con workflows reutilizables centralizados, W tiende a ser alto, por lo que hardening local por repositorio resulta insuficiente.

Tier C (unknown): La distribución de P_s en organizaciones afectadas no fue reportada en divulgaciones primarias.

Root Architectural Fragility

Compresión de confianza: versiones semánticas mutables y tags fueron tratadas operativamente como anclas de identidad inmutables.
Control-plane privilege escalation: la ruta de resolución de referencias de action adquirió autoridad implícita sobre cargas con secretos.
Key lifecycle failure: muchos secretos CI eran de larga vida y alcance amplio, convirtiendo la divulgación en riesgo persistente de acceso.
Rollback/rollforward governance failure: existían controles de rollback de versión, pero la orquestación de invalidación de secretos frecuentemente quedó por detrás de la remediación de código.
CI/CD privilege leakage: cadenas transitivas de actions excedieron fronteras explícitas de aceptación de riesgo.

Tier B (inferred): La fragilidad duradera es la mutabilidad en tiempo de gobernanza, no un único commit comprometido.

Code-Level Reconstruction

# Patrón vulnerable: tag mutable + credenciales de alto alcance en el mismo contexto.
jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: write
      id-token: write
    steps:
      - uses: actions/checkout@v4
      - uses: tj-actions/changed-files@v45
      - run: ./deploy.sh
        env:
          CLOUD_API_KEY: ${{ secrets.CLOUD_API_KEY }}

# Controlador de admisión de producción para actions de terceros.
def admit_workflow_action(action_ref, attestation, secret_profile):
    immutable_ref = is_full_length_commit_sha(action_ref)
    verified_source = verify_attestation(attestation)
    short_lived = secret_profile.max_ttl_minutes <= 15
    minimal_scope = secret_profile.scope in {"read_only", "deploy_limited"}

    if not (immutable_ref and verified_source and short_lived and minimal_scope):
        return {"decision": "DENY", "reason": "supply_chain_invariant_violation"}

    return {"decision": "ALLOW"}

Tier B (inferred): Aplicar este gate en admisión de workflow habría reducido el compromiso de exposición organizacional de secretos a fallas localizadas de ejecución.

Operational Impact Analysis

Tier A (confirmed): Los advisory de CISA y GitHub caracterizan posible divulgación de PATs, access keys, tokens npm y claves privadas en logs de workflow para ejecuciones afectadas.

Tier B (inferred): Los resultados operativos incluyen carga inmediata de rotación de credenciales, congelamiento de workflows de emergencia y aumento de latencia de despliegue durante el rollout de pinning y remediación de políticas.

Tier B (inferred): Para organizaciones con templates de workflow compartidos, la degradación de throughput es no lineal porque la remediación bloquea simultáneamente a múltiples equipos.

Modelo de blast radius:

B = \frac{\text{affected\_repositories}}{\text{total\_repositories\_using\_third\_party\_actions}}

Vínculo de decisión:

Si B >= 0.2, imponer reemisión empresarial de credenciales CI y centralización temporal de gate de despliegue.
Si 0.05 <= B < 0.2, aplicar rotación escalonada con prioridad para identidades de alcance productivo.
Si B < 0.05, mantener contención focalizada preservando controles obligatorios de referencia inmutable.

Enterprise Translation Layer

CTO: tratar resolución de dependencias de CI como lógica crítica de plano de control, no metadato de conveniencia para desarrollo.
CISO: reclasificar ingestión de Actions de terceros como frontera de confianza de supply chain con controles obligatorios basados en evidencia.
DevSecOps: imponer pin a SHA inmutable, permisos mínimos de token, federación OIDC de corta duración y controles de egress en runtime.
Board: definir umbrales de apetito de riesgo para \Delta t aceptable y TTL máximo obligatorio de secretos en ecosistemas CI.

STIGNING Hardening Model

Controles prescriptivos:

Aislamiento de plano de control: motor de políticas independiente valida referencias de action antes de la ejecución en runner.
Segmentación de ciclo de vida de claves: reemplazar secretos de repositorio de larga vida por credenciales cloud de corta vida emitidas por OIDC.
Endurecimiento de quorum: doble aprobación para cambios en templates organizacionales de workflow y política de allowed-actions.
Refuerzo de observabilidad: centralizar telemetría de resolución de dependencias de workflow, detección de anomalías de logs y trazas de uso de secretos.
Envolvente de rate limiting: limitar clases de workflow de alto privilegio durante investigación activa de supply chain.
Rollback seguro para migración: mantener workflows de fallback probados con manifiestos inmutables de actions preaprobados.

ASCII structural diagram:

[Workflow Trigger]
       |
       v
[Policy Gate: ref immutability + attestation + token profile]
       | pass
       v
[Runner Sandbox] ---> [Egress Policy] ---> [Approved Endpoints]
       |
       v
[Short-lived OIDC Credential Broker]
       |
       v
[Cloud/API Access (scoped, expiring)]

Strategic Implication

Classification: governance failure.

Implicación a 5-10 años:

La resiliencia de supply chain en CI estará determinada por enforcement de inmutabilidad de referencias y procedencia verificable por política, no solo por velocidad de rotación de secretos tras incidentes.
Las empresas convergerán hacia allowlists centralizadas de actions, requisitos de atestación y credenciales de workload ligadas a identidad criptográfica.
Punteros mutables de dependencia en automatización privilegiada pasarán a ser hallazgo regulatorio en sectores de alta exigencia.

References

GitHub Advisory Database (CVE-2025-30066): https://github.com/advisories/ghsa-mrrh-fwg8-r2c3
Alerta CISA (18 mar 2025; rev. 26 mar 2025): https://www.cisa.gov/news-events/alerts/2025/03/18/supply-chain-compromise-third-party-tj-actionschanged-files-cve-2025-30066-and-reviewdogaction
Issue de incidente del mantenedor (#2463): https://github.com/tj-actions/changed-files/issues/2463
Release del mantenedor v46.0.1: https://github.com/tj-actions/changed-files/releases/tag/v46.0.1
GitHub Advisory Database (CVE-2025-30154): https://github.com/advisories/ghsa-qmg3-hpqr-gqvc
GitHub Docs, secure use reference para hardening de Actions: https://docs.github.com/en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions

Conclusion

El incidente demuestra que la confianza en CI colapsa cuando referencias mutables de dependencias cruzan rutas de ejecución privilegiadas sin verificación inmutable y sin ciclos de vida restringidos de credenciales. La resiliencia duradera exige convertir la selección de dependencias de workflow en un sistema de control de admisión determinístico, impuesto por políticas y verificable criptográficamente.

STIGNING Infrastructure Risk Commentary Series
Engineering Under Adversarial Conditions