zizmor

zizmorはCI/CDシステム向けの静的解析ツールです。一般的なCI/CD設定をスキャンしてセキュリティ問題を報告し、修正を支援する機能も備えています。 サポート対象にはGitHub Actions、Dependabot、pre-commitのセットアップが含まれます。検出する問題には、攻撃者によるコード実行につながるテンプレートインジェクションの脆弱性、意図しない認証情報の永続化と漏洩、ランナーへの過剰な権限スコープと認証情報の付与、なりすましコミットや紛らわしいgit参照などがあります。プロジェクトのドキュメントには、これらの例以外にも追加の監査項目が記載されています。 インストール手順、クイックスタート、詳細な使用例は、docs.zizmor.shのプロジェクトドキュメントに記載されています。このツールはcrates.ioで配布されており、パッケージングバッジによると複数のパッケージリポジトリにも収録されています。 このプロジェクトはMITライセンスで提供されており、コントリビューションガイドを通じて貢献を受け付けています。開発はスポンサーによって支えられており、コミュニティでの議論はDiscordで行われています。