🇰🇷 한글 설명
Octo-STS GitHub App v0.5.3 이전 버전에서 OpenID Connect 토큰의 필드를 악용하여 인증되지 않은 SSRF 공격이 가능합니다. 이는 내부 네트워크 요청을 유발하여 민감한 정보가 포함된 에러 로그를 노출시킬 수 있습니다.
💡 쉬운 설명
Octo-STS라는 GitHub 도구의 이전 버전에서 누구나 특별한 인증 없이 내부 네트워크에 접근할 수 있는 보안 허점이 있습니다. 공격자가 이를 악용하면 회사의 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Octo-STS is a GitHub App that acts like a Security Token Service (STS) for the GitHub API. Octo-STS versions before v0.5.3 are vulnerable to unauthenticated SSRF by abusing fields in OpenID Connect tokens. Malicious tokens were shown to trigger internal network requests which could reflect error logs with sensitive information. Upgrade to v0.5.3 to resolve this issue. This version includes patch sets to sanitize input and redact logging.
📍 영향받는 시스템
Octo-STS v0.5.3 미만의 모든 버전
⚔️ 공격 벡터
OpenID Connect 토큰의 필드를 조작하여 인증되지 않은 SSRF 요청 전송
🛡️ 대응 방법
v0.5.3 이상으로 업그레이드 (입력 검증 및 로깅 개선 포함)
🔧 검증 코드
npm 또는 pip로 설치된 octo-sts의 버전을 확인하며, v0.5.3 이상이면 취약점이 해결되었습니다.
npm info octo-sts version 2>/dev/null || pip show octo-sts 2>/dev/null | grep Version