🇰🇷 한글 설명
Adept 언어의 remoteBuild.yml 워크플로우가 actions/upload-artifact@v4를 통해 GITHUB_TOKEN을 포함한 .git/config 파일이 있는 mac-standalone 아티팩트를 업로드합니다. 워크플로우 완료 전 아티팩트를 다운로드해 토큰을 추출한 공격자가 GitHub API로 악의적인 코드를 푸시하거나 릴리즈 커밋을 변조할 수 있습니다.
💡 쉬운 설명
GitHub Actions 워크플로우가 실수로 비밀 토큰이 포함된 파일을 공개적으로 업로드했습니다. 공격자가 이 토큰으로 프로젝트 코드를 변조하거나 악의적인 업데이트를 배포할 수 있습니다.
🇺🇸 원문 (English)
Adept is a language for general purpose programming. Prior to commit a1a41b7, the remoteBuild.yml workflow file uses actions/upload-artifact@v4 to upload the mac-standalone artifact. This artifact is a zip of the current directory, which includes the automatically generated .git/config file containing the run's GITHUB_TOKEN. Seeing as the artifact can be downloaded prior to the end of the workflow, there is a few seconds where an attacker can extract the token from the artifact and use it with the Github API to push malicious code or rewrite release commits in the AdeptLanguage/Adept repository. This issue has been patched in commit a1a41b7.
📍 영향받는 시스템
AdeptLanguage/Adept 프로젝트 (commit a1a41b7 이전 모든 버전)
⚔️ 공격 벡터
공개된 GitHub Actions 아티팩트에서 GITHUB_TOKEN을 추출하여 GitHub API로 저장소 접근 및 변조
🛡️ 대응 방법
commit a1a41b7로 업그레이드하거나 .git 디렉토리를 아티팩트 업로드 대상에서 제외
🔧 검증 코드
출력에서 .git이나 민감한 파일을 포함하는 경로가 있으면 취약함, 없으면 안전
grep -r 'actions/upload-artifact' .github/workflows/ | head -5