Checkmarx-CVE-2025-30066-Detection-Tool

Questi sono strumenti per scansionare i tuoi workflow e log di GitHub alla ricerca di potenziali azioni dannose associate a CVE-2025-30066. Controllano un insieme di GitHub Actions note come rischiose e un frammento di codice sospetto incorporato nei file di workflow. Inoltre, cercano segreti che sono stati esposti nei log a causa di CVE-2025-30066.

CxGithubActionsScan

Cosa Scansiona

Lo script cerca quanto segue nei tuoi file di workflow:

GitHub Actions:
    reviewdog/action-setup
    reviewdog/action-shellcheck
    reviewdog/action-composite-template
    reviewdog/action-staticcheck
    reviewdog/action-ast-grep
    reviewdog/action-typos
    tj-actions/changed-files
    tj-actions/eslint-changed-files

Frammento di Codice Maligno:

Un frammento codificato in base64:

IyEvdXNyL2Jpbi9lbnYgcHl0aG9uMwoKIyBiYXNlZCBvbiBodHRwczovL2RhdmlkZWJvdmUuY29tL2Jsb2cvP3A9MTY

Opzioni di Scansione

Puoi eseguire la scansione in una delle tre modalità:

Scansione Organizzazione: Usa il flag --org per scansionare tutti i repository all'interno di un'organizzazione.
Scansione Repository: Usa il flag --repo per scansionare un repository specifico (formato: proprietario/repo o un URL GitHub completo).
Scansione Utente: Usa il flag --user per scansionare tutti i repository per un utente specifico.

Token di Accesso Personale GitHub (PAT)

Per accedere al contenuto del repository, avrai bisogno di un Token di Accesso Personale GitHub (PAT) fornito tramite il flag --token:

Scansioni Organizzazione: Il PAT deve includere gli ambiti repo e read:org.
Scansioni Utente/Repository: Il PAT dovrebbe avere repo (per repository privati) o public_repo (per repository pubblici).

Come Ottenere il Tuo PAT GitHub

1. Accedi a GitHub e clicca sulla tua immagine del profilo.
2. Vai su Impostazioni → Impostazioni sviluppatore → Token di accesso personale.
3. Clicca su Genera nuovo token, fornisci un nome descrittivo e seleziona gli ambiti richiesti.
4. Genera e copia il token.

Comando di Esempio

Per scansionare tutti i repository in un'organizzazione chiamata myorg con le parole chiave predefinite, esegui:

python CxGithubActionsScan.py --org myorg --token YOUR_GITHUB_PAT

CxGithub2msScan

CxGithub2msScan è uno strumento Python che scarica i log di esecuzione dei workflow di GitHub Actions per un repository specificato e li scansiona usando lo strumento Checkmarx 2ms per rilevare segreti o chiavi compromesse.

Requisiti

• Python 3.x
• 2ms.exe (CLI Checkmarx 2ms) deve essere disponibile nel tuo PATH o nella stessa directory dello script.
  Scarica il binario di 2ms da: https://github.com/Checkmarx/2ms
• Un token di accesso personale GitHub con accesso ai log delle Actions del repository.

Token di Accesso Personale GitHub (PAT)

Per accedere al contenuto del repository, avrai bisogno di un Token di Accesso Personale GitHub (PAT) fornito tramite il flag --token:

Come Ottenere il Tuo PAT GitHub

1. Accedi a GitHub e clicca sulla tua immagine del profilo.
2. Vai su Impostazioni → Impostazioni sviluppatore → Token di accesso personale.
3. Clicca su Genera nuovo token, fornisci un nome descrittivo e seleziona gli ambiti richiesti.
4. Genera e copia il token.

Utilizzo

Esegui lo strumento dalla riga di comando con gli argomenti richiesti. Ad esempio:

python CxGithub2msScan.py --owner your_org --repo your_repo --days 7 --token YOUR_GITHUB_TOKEN --output logs