Comprometimento de Cadeia de Suprimentos no tj-actions: Mutação de Tag e Caminho de Exfiltração de Segredos de CI

Incident Overview (Without Journalism)

Superfície institucional primária: Mission-Critical DevSecOps.

Linhas de capacidade:

Reproducible and signed build pipelines
Policy-as-code enforcement
Immutable rollout and rollback control

Reconstrução técnica da linha do tempo:

Tier A (confirmed): tj-actions/changed-files foi publicado como comprometido no GHSA GHSA-mrrh-fwg8-r2c3, com evidência de que tags mutáveis podiam resolver para código malicioso que expunha segredos de CI em logs de workflow.
Tier A (confirmed): a CISA adicionou CVE-2025-30066 ao KEV, estabelecendo consenso institucional de exploração ativa e necessidade de remediação.
Tier A (confirmed): diretrizes de segurança do GitHub já exigiam pinning de actions em commit SHA completo para prevenir retarget de tags.
Tier B (inferred): a falha dominante não foi apenas o comprometimento de um repositório; foi a confiança sistêmica em referências simbólicas mutáveis (@vX, @main) em patrimônios de CI.
Tier C (unknown): vetor inicial completo do atacante e conjunto longitudinal de objetivos não foram divulgados integralmente.

Declaração de hipótese delimitada: esta autópsia assume que o escopo publicado nos advisories está materialmente correto e que detalhes forenses não divulgados podem refinar a cronologia sem alterar o modelo de fronteira de confiança.

Failure Surface Mapping

Defina S = {C, N, K, I, O}:

C: plano de controle de CI (política de workflow, resolução de actions, governança de runner)
N: caminho de recuperação de artefatos e transporte de logs
K: ciclo de vida de segredos (emissão, exposição em runtime, rotação)
I: fronteira de identidade entre confiança no mantenedor, no repositório e na execução organizacional
O: orquestração de resposta, revogação e rollback de pipeline

Camadas falhas dominantes e classe de falha:

I: falha Bizantina, porque a identidade da referência de action era mutável embora tratada como confiança imutável.
K: falha por omissão, porque valores sensíveis puderam aparecer em logs sob fluxos maliciosos de execução.
O: falha temporal, porque rotação de segredos e migração de pinning em escala empresarial têm atraso operacional.

Tier A (confirmed): o escopo do advisory inclui risco de divulgação de segredos por resolução maliciosa de action. Tier B (inferred): a maior parte do blast radius foi gerada por defaults organizacionais de política, não apenas por um caminho de mantenedor comprometido.

Formal Failure Modeling

Seja o estado de confiança do pipeline no tempo t:

S_t = (R_t, A_t, K_t, V_t, M_t)

Onde:

R_t: conjunto de referências de action em workflows ativos
A_t: conjunto de commits de action atestados
K_t: conjunto de segredos válidos disponíveis aos runners
V_t: estado da política de verificação (pinning, allowlists, checagens de assinatura)
M_t: progresso de mitigação (rotação, congelamento de workflow, rebuild)

Transição de resolução de referência:

T(S_t): A_{t+1} = f(R_t, V_t)

Invariante requerido:

I_{pin}: \forall r \in R_t,\; r \to c \land c \in A_t^{attested}

Condição de violação:

\exists r \in R_t: r = \text{mutable-tag} \Rightarrow \Pr(c \notin A_t^{attested}) > 0 \Rightarrow |K_{exp,t+1}| > |K_{exp,t}|

Vínculo decisório: a política corporativa deve forçar V_t para que referências mutáveis sejam rejeitadas antes do merge e antes da execução.

Adversarial Exploitation Model

Classes de adversário:

A_passive: observa logs públicos de workflow e metadados para material exposto
A_active: muta referências de action ou ponteiros de release para executar lógica de exfiltração
A_internal: abusa de privilégios de escrita organizacional para contornar governança fraca
A_supply_chain: compromete canal upstream de mantenedor/release e propaga artefatos envenenados
A_economic: mira CI/CD para obter credenciais de nuvem com valor econômico em acessos subsequentes

Variáveis de pressão:

latência de detecção \Delta t
largura da fronteira de confiança W
escopo de privilégio P_s

Pressão de exploração:

\Pi = \Delta t \times W \times P_s

Tier A (confirmed): existe sinal de exploração ativa via KEV da CISA e advisory do GitHub. Tier B (inferred): organizações com segredos amplos em runner e referências mutáveis exibem crescimento superlinear de \Pi sob rotação tardia.

Root Architectural Fragility

Fragilidades estruturais:

Compressão de confiança entre tags simbólicas de versão e identidade imutável de artefato.
Segredos de CI entregues aos jobs antes de validação completa de proveniência/atestação.
Defaults organizacionais fracos permitindo actions de terceiros sem pinning estrito em SHA.
Fragilidade de rollback: revogar tags maliciosas não revoga credenciais já vazadas.
Cegueira de observabilidade quando telemetria não correlaciona exposição de segredos com proveniência da action.

Tier A (confirmed): guidance e advisories convergem para urgência de pinning em SHA e rotação de segredos. Tier B (inferred): sem gates de política exigíveis, recorrência permanece provável após limpeza pontual.

Code-Level Reconstruction

# Padrão vulnerável de workflow: referência mutável e exposição de token privilegiado.
name: ci
on: [pull_request]

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      id-token: write
    steps:
      - uses: actions/checkout@v4
      - uses: tj-actions/changed-files@v45 # confiança em tag mutável
      - name: publish-metadata
        run: |
          echo "token=${{ secrets.CLOUD_DEPLOY_TOKEN }}" >> build.log

# Controle de produção: negar referências de action mutáveis em policy-as-code.
package cicd.guard

deny[msg] {
  some i
  ref := input.workflow.jobs[_].steps[i].uses
  not regex.match(".+@[a-f0-9]{40}$", ref)
  msg := sprintf("Unpinned action reference: %s", [ref])
}

Operational Impact Analysis

Linha de base de blast radius:

B = \frac{\text{affected\_nodes}}{\text{total\_nodes}}

Para patrimônios de CI, o blast radius ponderado deve incluir fan-out de credenciais:

B_{cicd} = B \times F_k

Onde F_k é o fan-out de reuso de segredos entre contas de nuvem, registries e planos de deploy.

Perfil esperado de impacto:

amplificação de latência por congelamentos emergenciais de pipeline e re-atestação forçada
degradação de throughput durante migração para commit SHA e rotação de tokens
exposição de capital por uso indevido de credenciais de nuvem e publicação não autorizada de artefatos
blast radius entre ambientes quando tokens compartilhados conectam staging e produção

Tier C (unknown): perda financeira agregada exata e denominador completo de organizações afetadas não estão publicamente completos.

Enterprise Translation Layer

Para CTO:

Tratar imutabilidade de referência de CI como propriedade de confiabilidade de produção, não apenas preferência de segurança.
Financiar verificação centralizada de atestação e proveniência para todas as actions de terceiros.

Para CISO:

Exigir controles de proveniência criptográfica antes que qualquer runner receba segredos de alto valor.
Colocar issues de CI listadas em KEV em janelas obrigatórias de mudança emergencial.

Para DevSecOps:

Aplicar pinning em SHA completo, allowlists de action e credenciais efêmeras de TTL curto.
Implementar playbooks automáticos de revogação de segredos acoplados à detecção de workflows suspeitos.

Para Conselho:

Monitorar exposição de supply chain de software como métrica de risco de infraestrutura com SLOs de remediação.
Exigir evidência periódica de que pipelines críticos rotacionam credenciais em janela horária delimitada.

STIGNING Hardening Model

Controles prescritivos:

isolar plano de controle de CI do plano de deploy por promoção unidirecional de artefato
segmentar ciclo de vida de chaves para que segredos de runner sejam escopados, efêmeros e não reutilizáveis
endurecer quórum de aprovação para mudanças de source de action e elevações de permissão de workflow
reforçar observabilidade com correlação entre proveniência e exposição de segredos
aplicar envelopes de rate-limiting para emissão de token e gatilhos de deploy subsequentes
impor rollback seguro para migração, no qual rollback não possa reabilitar referências mutáveis

[Developer Commit] --> [Policy Gate: SHA Pin + Allowlist] --> [CI Runner Pool]
                                  |                               |
                                  v                               v
                        [Provenance Verifier]            [Ephemeral Secret Broker]
                                  |                               |
                                  +------------> [Artifact Store] +--> [Deploy Plane]

Objetivo de controle: minimizar W e P_s, e contrair \Delta t via detecção determinística e invalidação automática de credenciais.

Strategic Implication

Classificação primária: governance failure.

Implicações em cinco a dez anos:

Referências mutáveis de dependência em CI serão tratadas como não conformes em ambientes de engenharia regulados.
Controles corporativos convergirão para grafos de build atestáveis criptograficamente com enforcement obrigatório de política.
Regimes de auditoria e seguro precificarão diretamente a qualidade de proveniência de CI no risco.
Resposta a comprometimento de supply chain se tornará função operacional permanente, não resposta ad-hoc.
Métricas de resiliência em nível de conselho migrarão para tempo-de-rotação e tempo-de-reconstrução de proveniência.

References

GitHub Advisory Database, GHSA-mrrh-fwg8-r2c3 (tj-actions/changed-files compromise), https://github.com/advisories/GHSA-mrrh-fwg8-r2c3
NVD entry for CVE-2025-30066, https://nvd.nist.gov/vuln/detail/CVE-2025-30066
CISA Known Exploited Vulnerabilities Catalog entry (CVE-2025-30066), https://www.cisa.gov/known-exploited-vulnerabilities-catalog
GitHub Docs, "Security hardening for GitHub Actions" (pin actions to full-length commit SHA), https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions

Conclusion

O incidente deve ser modelado como colapso de fronteira de confiança em CI causado por identidade mutável de action sob execução privilegiada. Remediação durável não é alcançada por patch pontual em uma referência; exige enforcement determinístico de proveniência, credenciais efêmeras escopadas e governança mensurável de rotação/rebuild em todo o patrimônio de pipeline.

STIGNING Infrastructure Risk Commentary Series
Engineering Under Adversarial Conditions