Skip to main content

CodeQL 分析のための GitHub Actions クエリ

          `default` または `security-extended` クエリ スイートを選んだ場合に、CodeQL ワークフロー ファイルに記述されたコードを GitHub Actions で分析するために使うクエリを確認します。

この機能を使用できるユーザーについて

CodeQL は、次の種類のリポジトリで使用できます:

  • GitHub.com のパブリック リポジトリについては、「GitHub CodeQL の使用条件」を参照してください
  • GitHub Team が有効になっている GitHub Code Security 上の organization 所有のリポジトリ

CodeQL には、GitHub Actions ワークフローを分析するクエリが多数用意されています。 データ再利用可能なコードスキャニング.CodeQLクエリテーブル.クエリスイートの動作 %}

GitHub Actions 分析用の組み込みクエリ

次の表に、最新リリースの CodeQL アクションと CodeQL CLI で使用できるクエリを示します。 詳細については、CodeQL ドキュメントにある CodeQL クエリに関するページを参照してください。

クエリ名関連する CWEデフォルト値ExtendedCopilot の自動修正
成果物ポイズニング829
信頼されていないファイルのキャッシュによるキャッシュ ポイズニング349
信頼されていないコードの実行によるキャッシュ ポイズニング349
低特権コード インジェクションによるキャッシュ ポイズニング349、094
特権コンテキストでの信頼されていないコードのチェックアウト829
信頼されたコンテキストでの信頼されていないコードのチェックアウト829
コード インジェクション094, 095, 116
ユーザーが制御するソースから構築された環境変数077、020
過度のシークレットの露出312
不適切なアクセス制御285
ユーザーが管理するソースから構築された PATH 環境変数077、020
GitHub Actions 成果物内の機密情報の保持312
マスクされていないシークレットの露出312
信頼されていないチェックアウト TOCTOU367
信頼されていないチェックアウト TOCTOU367
既知の脆弱なアクションの使用1,395
ワークフローにアクセス許可が含まれていない275
成果物ポイズニング829
信頼されたコンテキストでの信頼されていないコードのチェックアウト829
コード インジェクション094, 095, 116
ユーザーが制御するソースから構築された環境変数077、020
ユーザーが管理するソースから構築された PATH 環境変数077、020
ワークフロー内の変更不可アクションの固定されていないタグ829