🇰🇷 한글 설명
octo-sts GitHub 앱의 리소스 사용률 스파이크 취약점으로, 공격자가 의도적인 트래픽을 보내 STS 서비스의 리소스를 소진시킬 수 있습니다. 충분한 트래픽과 결합하면 서비스 거부(DoS) 상태를 유발할 가능성이 있습니다.
💡 쉬운 설명
GitHub의 토큰 발급 서비스(octo-sts)가 과도한 요청으로 인해 느려지거나 멈출 수 있습니다. 이는 특정 요청을 반복하면 서비스 전체가 작동 불능 상태가 될 수 있다는 뜻입니다.
🇺🇸 원문 (English)
octo-sts is a GitHub App that acts like a Security Token Service (STS) for the Github API. This vulnerability can spike the resource utilization of the STS service, and combined with a significant traffic volume could potentially lead to a denial of service. This vulnerability is fixed in 0.1.0
📍 영향받는 시스템
octo-sts 0.1.0 미만 버전
⚔️ 공격 벡터
의도적으로 리소스를 많이 사용하는 요청을 반복하여 STS 서비스 과부하 유발
🛡️ 대응 방법
octo-sts를 0.1.0 이상으로 업그레이드
🔧 검증 코드
명령어가 octo-sts 의존성과 버전을 출력하면, 버전이 0.1.0 미만이면 취약함
find /path/to/app -name 'package.json' -o -name 'requirements.txt' | xargs grep -i 'octo-sts' 2>/dev/null | head -1