🇰🇷 한글 설명
acme.sh의 GitHub Actions 워크플로우 파일(.github/workflows/dockerhub.yml)에서 'persist-credentials: false' 설정이 누락되어 있어, 빌드 환경이 손상될 경우 GitHub 토큰이 노출될 수 있는 취약점입니다. 이를 악용하면 저장소에 대한 무단 접근 및 악의적 코드 삽입이 가능합니다.
💡 쉬운 설명
GitHub의 자동 빌드 스크립트에서 보안 설정이 빠져 있어 공격자가 빌드 중에 GitHub 인증 토큰을 탈취할 수 있습니다. 이를 통해 저장소에 악의적인 Docker 이미지를 배포할 수 있습니다.
🇺🇸 원문 (English)
The Docker image from acme.sh before 40b6db6 is based on a .github/workflows/dockerhub.yml file that lacks "persist-credentials: false" for actions/checkout.
📍 영향받는 시스템
acme.sh 프로젝트의 Docker 이미지 (커밋 40b6db6 이전 버전)
⚔️ 공격 벡터
GitHub Actions 워크플로우 환경에 주입된 악성 코드가 persist-credentials 설정 부재로 인해 GitHub 토큰에 접근
🛡️ 대응 방법
.github/workflows/dockerhub.yml의 actions/checkout 스텝에 'persist-credentials: false' 옵션 추가
🔧 검증 코드
'PATCHED' 출력 시 취약점 해결됨, 'VULNERABLE' 출력 시 persist-credentials 설정 누락으로 여전히 위험한 상태
grep -A 3 'actions/checkout' .github/workflows/dockerhub.yml | grep -q 'persist-credentials: false' && echo 'PATCHED' || echo 'VULNERABLE'