GitHub Dependabot は、脆弱な GitHub アクションについて開発者に警告するようになりました from thehackernews.com

クラウドベースのコード ホスティング プラットフォーム GitHub は、開発者が CI/CD ワークフローのセキュリティ問題を修正できるように、脆弱な GitHub アクションに関する Dependabot アラートの送信を開始することを発表しました。
GitHub Actions は、ユーザーがソフトウェアのビルド、テスト、デプロイ パイプラインを自動化できるようにする、継続的インテグレーションおよび継続的デリバリー (CI/CD) ソリューションです。
Dependabot は、Microsoft が所有する子会社の継続的な取り組みの一部であり、ユーザーのソース コードがセキュリティ上の脆弱性を持つパッケージに依存していることをユーザーに通知し、すべての依存関係を最新の状態に保つのを支援することで、ソフトウェア サプライ チェーンを保護します。
最新の動きでは、GitHub アクションと開発者コードに影響を与える脆弱性に関するアラートを受信する必要があり、ユーザーは一貫した開示プロセスを順守することで、特定の GitHub アクションの勧告を送信することもできます。
「このような改善により、GitHub とユーザーのセキュリティ体制が強化されます。そのため、ビルドのセキュリティを向上させるために、GitHub のサプライ チェーン セキュリティ ソリューションと GitHub Actions の間の接続ポイントを強化することに投資し続けています」と同社は述べています。