Compromiso de Cadena de Suministro en tj-actions: Mutación de Tag y Ruta de Exfiltración de Secretos de CI

Incident Overview (Without Journalism)

Superficie institucional primaria: Mission-Critical DevSecOps.

Líneas de capacidad:

Reproducible and signed build pipelines
Policy-as-code enforcement
Immutable rollout and rollback control

Reconstrucción técnica de la cronología:

Tier A (confirmed): tj-actions/changed-files fue publicado como comprometido en GHSA GHSA-mrrh-fwg8-r2c3, con evidencia de que tags mutables podían resolver a código malicioso que exponía secretos de CI en logs de workflow.
Tier A (confirmed): CISA añadió CVE-2025-30066 al KEV, estableciendo consenso institucional de explotación activa y remediación obligatoria.
Tier A (confirmed): la guía de seguridad de GitHub ya exigía pinning de actions a commit SHA de longitud completa para prevenir retarget de tags.
Tier B (inferred): la falla dominante no fue solo un repositorio comprometido; fue la confianza sistémica en referencias simbólicas mutables (@vX, @main) a escala de CI.
Tier C (unknown): el vector inicial completo del atacante y su conjunto longitudinal de objetivos no fueron divulgados de forma integral.

Declaración de supuestos acotados: esta autopsia asume que el alcance publicado en advisories es materialmente correcto y que detalles forenses no públicos pueden refinar la secuencia sin alterar el modelo central de frontera de confianza.

Failure Surface Mapping

Definir S = {C, N, K, I, O}:

C: plano de control de CI (política de workflows, resolución de actions, gobernanza de runners)
N: ruta de obtención de artefactos y transporte de logs
K: ciclo de vida de secretos (emisión, exposición en runtime, rotación)
I: frontera de identidad entre confianza en mantenedor, repositorio y ejecución organizacional
O: orquestación de respuesta, revocación y rollback de pipeline

Capas fallidas dominantes y clase de falla:

I: falla Bizantina, porque la identidad de referencia de action era mutable aunque se trataba como confianza inmutable.
K: falla por omisión, porque valores sensibles pudieron aparecer en logs bajo rutas maliciosas de ejecución.
O: falla temporal, porque la rotación de secretos y migración de pinning a escala empresarial tiene retraso operativo.

Tier A (confirmed): el alcance del advisory incluye riesgo de divulgación de secretos por resolución maliciosa de action. Tier B (inferred): gran parte del blast radius fue generado por defaults de política organizacional, no solo por una ruta de mantenedor comprometido.

Formal Failure Modeling

Sea el estado de confianza del pipeline en tiempo t:

S_t = (R_t, A_t, K_t, V_t, M_t)

Donde:

R_t: conjunto de referencias de action en workflows activos
A_t: conjunto de commits de action atestados
K_t: conjunto de secretos válidos disponibles para runners
V_t: estado de política de verificación (pinning, allowlists, comprobaciones de firma)
M_t: progreso de mitigación (rotación, freeze de workflow, rebuild)

Transición de resolución de referencia:

T(S_t): A_{t+1} = f(R_t, V_t)

Invariante requerido:

I_{pin}: \forall r \in R_t,\; r \to c \land c \in A_t^{attested}

Condición de violación:

\exists r \in R_t: r = \text{mutable-tag} \Rightarrow \Pr(c \notin A_t^{attested}) > 0 \Rightarrow |K_{exp,t+1}| > |K_{exp,t}|

Vínculo de decisión: la política empresarial debe forzar V_t para que las referencias mutables sean rechazadas antes de merge y antes de ejecución.

Adversarial Exploitation Model

Clases de adversario:

A_passive: observa logs públicos de workflow y metadatos para material expuesto
A_active: muta referencias de action o punteros de release para ejecutar lógica de exfiltración
A_internal: abusa privilegios internos de escritura para evadir gobernanza débil
A_supply_chain: compromete canal upstream de mantenedor/release y propaga artefactos envenenados
A_economic: ataca CI/CD para obtener credenciales cloud monetizables en accesos posteriores

Variables de presión:

latencia de detección \Delta t
ancho de frontera de confianza W
alcance de privilegio P_s

Presión de explotación:

\Pi = \Delta t \times W \times P_s

Tier A (confirmed): existe señal de explotación activa vía KEV de CISA y advisory de GitHub. Tier B (inferred): organizaciones con secretos amplios en runners y referencias mutables presentan crecimiento superlineal de \Pi bajo rotación tardía.

Root Architectural Fragility

Fragilidades estructurales:

Compresión de confianza entre tags simbólicos de versión e identidad inmutable de artefacto.
Secretos de CI entregados a jobs antes de validar completamente procedencia/atestación.
Defaults organizacionales débiles que permiten actions de terceros sin pinning estricto a SHA.
Fragilidad de rollback: revocar tags maliciosos no revoca credenciales ya expuestas.
Ceguera de observabilidad cuando la telemetría no correlaciona exposición de secretos con procedencia de action.

Tier A (confirmed): guía y advisories convergen en urgencia de pinning SHA y rotación de secretos. Tier B (inferred): sin compuertas de política exigibles, la recurrencia sigue siendo probable tras una limpieza puntual.

Code-Level Reconstruction

# Patrón vulnerable de workflow: referencia mutable y exposición de token privilegiado.
name: ci
on: [pull_request]

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      id-token: write
    steps:
      - uses: actions/checkout@v4
      - uses: tj-actions/changed-files@v45 # confianza en tag mutable
      - name: publish-metadata
        run: |
          echo "token=${{ secrets.CLOUD_DEPLOY_TOKEN }}" >> build.log

# Control de producción: negar referencias mutables de action en policy-as-code.
package cicd.guard

deny[msg] {
  some i
  ref := input.workflow.jobs[_].steps[i].uses
  not regex.match(".+@[a-f0-9]{40}$", ref)
  msg := sprintf("Unpinned action reference: %s", [ref])
}

Operational Impact Analysis

Línea base de blast radius:

B = \frac{\text{affected\_nodes}}{\text{total\_nodes}}

Para patrimonios de CI, el blast radius ponderado debe incluir fan-out de credenciales:

B_{cicd} = B \times F_k

Donde F_k es el fan-out de reutilización de secretos entre cuentas cloud, registries y planos de despliegue.

Perfil de impacto esperado:

amplificación de latencia por freezes de pipeline de emergencia y re-atestación forzada
degradación de throughput durante migración a commit SHA y rotación de tokens
exposición de capital por uso indebido de credenciales cloud y publicación no autorizada de artefactos
blast radius inter-entorno cuando tokens compartidos unen staging y producción

Tier C (unknown): la pérdida financiera agregada exacta y el denominador total de organizaciones afectadas no son públicos de forma completa.

Enterprise Translation Layer

Para CTO:

Tratar inmutabilidad de referencia CI como propiedad de confiabilidad de producción, no solo preferencia de seguridad.
Financiar verificación centralizada de atestación y procedencia para todas las actions de terceros.

Para CISO:

Exigir controles de procedencia criptográfica antes de que cualquier runner reciba secretos de alto valor.
Mover issues CI listados en KEV a ventanas obligatorias de cambio de emergencia.

Para DevSecOps:

Aplicar pinning SHA completo, allowlists de action y credenciales efímeras de TTL corto.
Implementar playbooks automáticos de revocación de secretos acoplados a detecciones de workflows sospechosos.

Para Directorio:

Medir exposición de supply chain de software como métrica de riesgo de infraestructura con SLOs de remediación.
Exigir evidencia periódica de que pipelines críticos pueden rotar credenciales dentro de horas acotadas.

STIGNING Hardening Model

Controles prescriptivos:

aislar plano de control de CI del plano de despliegue mediante promoción unidireccional de artefactos
segmentar ciclo de vida de claves para que secretos de runner sean acotados, efímeros y no reutilizables
endurecer quórum de aprobación para cambios de fuente de action y elevaciones de permisos de workflow
reforzar observabilidad con correlación entre procedencia y exposición de secretos
aplicar envolventes de rate-limiting a emisión de tokens y disparadores de despliegue posteriores
imponer rollback seguro para migración donde rollback no pueda reactivar referencias mutables

[Developer Commit] --> [Policy Gate: SHA Pin + Allowlist] --> [CI Runner Pool]
                                  |                               |
                                  v                               v
                        [Provenance Verifier]            [Ephemeral Secret Broker]
                                  |                               |
                                  +------------> [Artifact Store] +--> [Deploy Plane]

Objetivo de control: minimizar W y P_s, y contraer \Delta t mediante detección determinística e invalidación automática de credenciales.

Strategic Implication

Clasificación primaria: governance failure.

Implicaciones a cinco-diez años:

Referencias mutables de dependencias en CI serán tratadas como no conformes en entornos regulados.
Los controles empresariales convergerán en grafos de build atestables criptográficamente con enforcement obligatorio de política.
Auditoría y seguros valorarán directamente la calidad de procedencia de CI en la exposición de riesgo.
La respuesta a compromisos de supply chain pasará a ser función operativa permanente.
Métricas de resiliencia de directorio migrarán a tiempo-de-rotación y tiempo-de-reconstrucción de procedencia.

References

GitHub Advisory Database, GHSA-mrrh-fwg8-r2c3 (tj-actions/changed-files compromise), https://github.com/advisories/GHSA-mrrh-fwg8-r2c3
NVD entry for CVE-2025-30066, https://nvd.nist.gov/vuln/detail/CVE-2025-30066
CISA Known Exploited Vulnerabilities Catalog entry (CVE-2025-30066), https://www.cisa.gov/known-exploited-vulnerabilities-catalog
GitHub Docs, "Security hardening for GitHub Actions" (pin actions to full-length commit SHA), https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions

Conclusion

El incidente se modela mejor como colapso de frontera de confianza en CI causado por identidad mutable de action bajo ejecución privilegiada. La remediación duradera no se logra con parche puntual de una referencia; exige enforcement determinístico de procedencia, credenciales efímeras acotadas y gobernanza medible de rotación/rebuild en todo el patrimonio de pipeline.

STIGNING Infrastructure Risk Commentary Series
Engineering Under Adversarial Conditions