🇰🇷 한글 설명
SonarQube Server와 Cloud의 GitHub Action에서 입력 인수가 적절히 검증되지 않아 shell 명령어로 실행될 수 있는 command injection 취약점이 발견되었습니다. 버전 4부터 5.3.0까지 영향받으며, 5.3.1 버전에서 패치되었습니다.
💡 쉬운 설명
SonarQube GitHub Action이 사용자 입력을 안전하게 처리하지 않아 악의적인 명령어가 서버에서 실행될 수 있습니다. 코드 검사 도구를 통해 의도하지 않은 명령이 시스템에서 수행될 수 있다는 의미입니다.
🇺🇸 원문 (English)
SonarQube Server and Cloud is a static analysis solution for continuous code quality and security inspection. In versions 4 to 5.3.0, a command injection vulnerability was discovered in the SonarQube Scan GitHub Action that allows untrusted input arguments to be processed without proper sanitization. Arguments sent to the action are treated as shell expressions, allowing potential execution of arbitrary commands. A fix has been released in SonarQube Scan GitHub Action 5.3.1.
📍 영향받는 시스템
SonarQube Scan GitHub Action 버전 4.0.0 ~ 5.3.0
⚔️ 공격 벡터
GitHub Action에 전달되는 인수에 shell metacharacter를 포함시켜 임의의 명령어 실행
🛡️ 대응 방법
SonarQube Scan GitHub Action을 5.3.1 이상으로 업그레이드
🔧 검증 코드
GitHub Action 버전이 5.3.1 이상이면 안전합니다. 버전이 표시되지 않으면 Action이 사용 중이지 않습니다.
grep -r 'sonarqubeCommunity/sonarqube-scan-action' .github/workflows/ | grep -oP '@\K[0-9.]+'