🇰🇷 한글 설명
Folo 프로젝트의 GitHub Actions 워크플로우 파일에서 pull_request_target 이벤트를 잘못 사용하여 신뢰할 수 없는 코드가 실행되고 저장소의 모든 시크릿에 접근할 수 있습니다. 공격자는 GITHUB_TOKEN을 탈취하여 저장소를 완전히 제어할 수 있습니다.
💡 쉬운 설명
Folo의 자동화 워크플로우에 보안 허점이 있어서 악의적인 코드가 실행되면서 중요한 접근 토큰이 유출될 수 있습니다. 이 토큰을 얻은 공격자는 저장소 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
Folo organizes feeds content into one timeline. Using pull_request_target on .github/workflows/auto-fix-lint-format-commit.yml can be exploited by attackers, since untrusted code can be executed having full access to secrets (from the base repo). By exploiting the vulnerability is possible to exfiltrate GITHUB_TOKEN which has high privileges. GITHUB_TOKEN can be used to completely overtake the repo since the token has content write privileges. This vulnerability is fixed in commit 585c6a591440cd39f92374230ac5d65d7dd23d6a.
📍 영향받는 시스템
Folo 프로젝트 (커밋 585c6a591440cd39f92374230ac5d65d7dd23d6a 이전 버전)
⚔️ 공격 벡터
GitHub Actions의 pull_request_target 이벤트를 악용하여 PR에 포함된 악성 코드 실행 및 저장소 시크릿 접근
🛡️ 대응 방법
커밋 585c6a591440cd39f92374230ac5d65d7dd23d6a 이후 버전으로 업그레이드
🔧 검증 코드
출력된 파일의 pull_request_target 설정이 제거되었거나 안전하게 변경되었는지 확인하고, 시크릿 사용이 없는지 검증
grep -r 'pull_request_target' .github/workflows/