🇰🇷 한글 설명
tj-actions/branch-names GitHub Action의 8.2.1 이하 버전에서 branch나 tag 이름 처리 시 입력 검증이 불완전하고 출력이 escape되지 않아 임의의 명령 실행 취약점이 발생합니다. 악의적으로 조작된 branch 이름을 통해 downstream workflows에서 공격자가 원하는 명령을 실행할 수 있으며, 버전 9.0.0에서 수정되었습니다.
💡 쉬운 설명
GitHub Actions의 branch-names 도구가 특수하게 만들어진 branch 이름을 제대로 확인하지 못해서, 공격자가 임의의 명령어를 실행시킬 수 있는 취약점입니다. 이를 이용하면 민감한 정보 탈취나 시스템 손상이 가능합니다.
🇺🇸 원문 (English)
tj-actions/branch-names is a Github actions repository that contains workflows to retrieve branch or tag names with support for all events. In versions 8.2.1 and below, a critical vulnerability has been identified in the tj-actions/branch-names' GitHub Action workflow which allows arbitrary command execution in downstream workflows. This issue arises due to inconsistent input sanitization and unescaped output, enabling malicious actors to exploit specially crafted branch names or tags. While internal sanitization mechanisms have been implemented, the action outputs remain vulnerable, exposing consuming workflows to significant security risks. This is fixed in version 9.0.0
📍 영향받는 시스템
tj-actions/branch-names GitHub Action v8.2.1 이하 모든 버전
⚔️ 공격 벡터
저장소에 특수하게 조작된 branch 또는 tag 이름 생성 후 GitHub Actions workflow 실행 트리거를 통해 임의 명령 실행
🛡️ 대응 방법
tj-actions/branch-names 액션을 v9.0.0 이상으로 업그레이드하여 패치 적용
🔧 검증 코드
출력된 버전이 @v9.0.0 이상이면 안전하고, @v8.2.1 이하이면 취약점이 있는 상태입니다.
grep -r 'tj-actions/branch-names@' .github/workflows/ 2>/dev/null | head -1