GitHub Actions needs OIDC audience constraintsGitHub Actionsでは、id-token: writeを持つジョブが実行時に任意のOIDC audienceを指定でき、第三者コードの脆弱性やマルウェアから他サービスへピボットされる懸念がある。

• GitHub Actionsでは、id-token: writeを持つジョブが実行時に任意のOIDC audienceを指定でき、第三者コードの脆弱性やマルウェアから他サービスへピボットされる懸念がある。
• OIDCトークンのaudクレームは利用対象サービスを制約する防御策だが、GitHub Actionsの動的指定により、その制約をジョブ側で回避できると論じている。
• ジョブごとに要求可能なaudienceを事前宣言する制約を追加し、動的audienceが必要な統合向けには現行のcatch-allを低安全性の選択肢として残す案を提案している。

CI/CDのワークロードIDが複数の外部サービスへ接続する現状で、OIDC audienceの制約不足が認証情報窃取後のサプライチェーン攻撃経路になり得る。