Checkmarx-CVE-2025-30066-Detection-Tool

これらは、CVE-2025-30066 に関連する可能性のある悪意あるアクションをスキャンするためのツールです。既知のリスクのある GitHub Actions のセットと、ワークフローファイルに埋め込まれた不審なコードスニペットをチェックします。また、CVE-2025-30066 によりログに露出してしまったシークレットもスキャンします。

CxGithubActionsScan

スキャン内容

このスクリプトは、ワークフローファイル内で以下を検索します。

GitHub Actions:
    reviewdog/action-setup
    reviewdog/action-shellcheck
    reviewdog/action-composite-template
    reviewdog/action-staticcheck
    reviewdog/action-ast-grep
    reviewdog/action-typos
    tj-actions/changed-files
    tj-actions/eslint-changed-files

悪意あるコードスニペット:

以下の base64 エンコードされたスニペット:

IyEvdXNyL2Jpbi9lbnYgcHl0aG9uMwoKIyBiYXNlZCBvbiBodHRwczovL2RhdmlkZWJvdmUuY29tL2Jsb2cvP3A9MTY

スキャンモード

スキャンは次の 3 つのモードのいずれかで実行できます。

組織スキャン: --org フラグを使用して、組織内のすべてのリポジトリをスキャンします。
リポジトリスキャン: --repo フラグを使用して、特定のリポジトリ（形式: owner/repo または完全な GitHub URL）をスキャンします。
ユーザースキャン: --user フラグを使用して、特定のユーザーのすべてのリポジトリをスキャンします。

GitHub Personal Access Token (PAT)

リポジトリのコンテンツにアクセスするには、--token フラグで提供される GitHub Personal Access Token (PAT) が必要です。

組織スキャン: PAT には repo および read:org スコープを含める必要があります。
ユーザー/リポジトリスキャン: PAT には repo（プライベートリポジトリの場合）または public_repo（パブリックリポジトリの場合）が必要です。

GitHub PAT の取得方法

1. GitHub にサインインし、プロフィール画像をクリックします。
2. Settings → Developer settings → Personal access tokens に移動します。
3. Generate new token をクリックし、わかりやすい名前を入力し、必要なスコープを選択します。
4. トークンを生成してコピーします。

サンプルコマンド

myorg という組織内のすべてのリポジトリをデフォルトのキーワードでスキャンするには、以下を実行します。

python CxGithubActionsScan.py --org myorg --token YOUR_GITHUB_PAT

CxGithub2msScan

CxGithub2msScan は、指定されたリポジトリの GitHub Actions ワークフロー実行ログをダウンロードし、Checkmarx 2ms ツールを使用してシークレットや漏洩したキーを検出するためにスキャンする Python ツールです。

必要条件

• Python 3.x
• 2ms.exe (Checkmarx 2ms CLI) が PATH またはスクリプトと同じディレクトリにある必要があります。 2ms バイナリは以下からダウンロード: https://github.com/Checkmarx/2ms
• リポジトリの Actions ログにアクセスできる GitHub personal access token。

GitHub Personal Access Token (PAT)

リポジトリのコンテンツにアクセスするには、--token フラグで提供される GitHub Personal Access Token (PAT) が必要です。

GitHub PAT の取得方法

1. GitHub にサインインし、プロフィール画像をクリックします。
2. Settings → Developer settings → Personal access tokens に移動します。
3. Generate new token をクリックし、わかりやすい名前を入力し、必要なスコープを選択します。
4. トークンを生成してコピーします。

使用方法

必要な引数を指定してコマンドラインからツールを実行します。例:

python CxGithub2msScan.py --owner your_org --repo your_repo --days 7 --token YOUR_GITHUB_TOKEN --output logs