1 風吹けば名無し 2026/10/05(月) 21:10:00 ID:kQ7mX2pA
【悲報】ワイのCI、Trivy のジョブが2ヶ月以上ずっと落ちてたのに気づいてなかった
毎週月曜に赤くなってたらしいんやが、見てなかったわ
2 風吹けば名無し 2026/10/05(月) 21:10:59 ID:Zt9bLw4e
>>1 見てなかったは草
CIの意味とは
3 風吹けば名無し 2026/10/05(月) 21:12:09 ID:kQ7mX2pA
>>2 ほんまそれ
原因が2つ重なっててな、順番に説明するで
まず Dependabot が aquasecurity/trivy-action < 0.35.0 を警告してきたんや
2026/03/19 にタグが書き換えられるサプライチェーン攻撃があったらしい
4 風吹けば名無し 2026/10/05(月) 21:13:30 ID:u5JdPq1s
>>3 ファッ!?
タグって書き換えられるんか
5 風吹けば名無し 2026/10/05(月) 21:15:02 ID:kQ7mX2pA
>>4 書き換えられるんやで
攻撃者が77個中76個のタグを infostealer 入りのコミットに force-push して、ランナーのメモリ吸い出したり認証情報を漁ったりしたらしい
ワイは被害なしや。ワークフロー足したのが5/18で、攻撃の約12時間の窓より2ヶ月後やったからな
6 風吹けば名無し 2026/10/05(月) 21:16:45 ID:n3RvHc8Y
>>5 運で助かってて草
で、なんで落ちてたんや
7 風吹けば名無し 2026/10/05(月) 21:18:39 ID:kQ7mX2pA
>>6 復旧のとき旧タグが削除されたんや
ワイは @0.24.0 で指定してたから解決できず、Set up job の時点で毎回死んどった
つまり画像スキャン、少なくとも2026/07/09以降ずっと動いてなかったことになる
とりあえずタグやなく SHA 固定に変えたで。攻撃の手口がタグの書き換えやから、SHA 指定なら影響受けへん
- name: Run Trivy
- uses: aquasecurity/trivy-action@0.24.0
+ uses: aquasecurity/trivy-action@57a97c7e7821a5776cebc9bb87c984fa69cba8f1 # 0.35.08 風吹けば名無し 2026/10/05(月) 21:20:44 ID:u5JdPq1s
>>7 SHA 固定は基本やな
それで終わりか？ なんで2ヶ月も気づかんかったんや
9 風吹けば名無し 2026/10/05(月) 21:23:00 ID:kQ7mX2pA
>>8 そこがヤマ場や
調べたら push トリガーが branches: [main] になってたんや
うちのデフォルトブランチは master やのに
10 風吹けば名無し 2026/10/05(月) 21:25:27 ID:Zt9bLw4e
>>9 ファッ!?
main ブランチ一度も無かったんか
11 風吹けば名無し 2026/10/05(月) 21:28:05 ID:kQ7mX2pA
>>10 一度も存在してないで
つまり push で CI が走ったことは一回もなくて、全15回の実行は週次スケジュール14回とPR1回だけやった
月曜にしか動かんから、変更した時点で落ちたことに気づける仕組みが無かったんや
12 風吹けば名無し 2026/10/05(月) 21:30:54 ID:n3RvHc8Y
>>11 草
CIがあるだけで満足してたパターンやな
13 風吹けば名無し 2026/10/05(月) 21:33:54 ID:kQ7mX2pA
>>12 返す言葉もないで
master に直して、手動実行できる workflow_dispatch も足しといた
on:
push:
- branches: [main]
+ branches: [master]
pull_request:
+ workflow_dispatch:
schedule:
- cron: "15 3 * * 1"14 風吹けば名無し 2026/10/05(月) 21:37:05 ID:u5JdPq1s
>>13 教訓まとめるとこうか
・サードパーティ action はタグやなくて SHA で固定
・CI は「ある」やなくて「push で走る」まで確認
・赤いジョブを放置しない
15 風吹けば名無し 2026/10/05(月) 21:40:27 ID:kQ7mX2pA
>>14 完璧やで
SHA 固定はコメントに元のバージョンを残しとくと、後でどれか分かって楽やった
16 風吹けば名無し 2026/10/05(月) 21:44:00 ID:Zt9bLw4e
>>15 ええ運用やな
次の月曜が緑なら勝ちや