🇰🇷 한글 설명
OZI GitHub Action의 1.13.2~1.13.5 버전에서 branch name을 통해 PR 생성 로직에 임의의 코드가 주입될 수 있는 취약점입니다. 악의적 행위자가 특수하게 구성된 branch 이름으로 공격할 수 있으며, 1.13.6에서 패치되었습니다.
💡 쉬운 설명
GitHub의 OZI 자동화 도구에서 branch 이름을 잘못 검증하여 해커가 원하는 명령어를 실행할 수 있는 문제입니다. PyPI 패키지 배포 시 악의적인 branch 이름을 만들면 보안 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The OZI action is a GitHub Action that publishes releases to PyPI and mirror releases, signature bundles, and provenance in a tagged release. In versions 1.13.2 through 1.13.5, potentially untrusted data flows into PR creation logic. A malicious actor could construct a branch name that injects arbitrary code. This is patched in 1.13.6. As a workaround, one may downgrade to a version prior to 1.13.2.
📍 영향받는 시스템
OZI GitHub Action v1.13.2, v1.13.3, v1.13.4, v1.13.5
⚔️ 공격 벡터
저장소에 특수한 문법이 포함된 branch name을 생성하여 PR 생성 로직에서 코드 주입 유발
🛡️ 대응 방법
OZI를 v1.13.6 이상으로 업그레이드하거나 v1.13.2 이전 버전으로 다운그레이드
🔧 검증 코드
workflow 파일에서 OZI action의 버전 확인 - @v1.13.2부터 v1.13.5 사이면 취약, v1.13.6 이상이면 안전
grep -r 'uses: ' .github/workflows/ | grep 'OZI\|ozi' | head -1