🇰🇷 한글 설명
SonarQube GitHub Action 버전 4.0.0부터 6.0.0 이전에서 Windows 러너의 args 매개변수에 사용자 입력이 적절한 검증 없이 전달될 때 명령어 주입 취약점이 발생합니다. 이는 임의의 명령어 실행을 허용하여 민감한 환경 변수 노출과 러너 환경 손상을 초래할 수 있습니다.
💡 쉬운 설명
SonarQube의 자동화 도구에서 악의적인 명령어를 실행할 수 있는 보안 결함입니다. 공격자가 시스템의 비밀 정보에 접근하거나 전체 빌드 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
SonarQube Server and Cloud is a static analysis solution for continuous code quality and security inspection. A command injection vulnerability exists in SonarQube GitHub Action in version 4.0.0 to before version 6.0.0 when workflows pass user-controlled input to the args parameter on Windows runners without proper validation. This vulnerability bypasses a previous security fix and allows arbitrary command execution, potentially leading to exposure of sensitive environment variables and compromise of the runner environment. The vulnerability has been fixed in version 6.0.0. Users should upgrade to this version or later.
📍 영향받는 시스템
SonarQube GitHub Action 4.0.0 ~ 5.x.x (Windows runners에서)
⚔️ 공격 벡터
GitHub 워크플로우에서 사용자 입력을 args 매개변수에 전달할 때 명령어 주입으로 임의 코드 실행
🛡️ 대응 방법
SonarQube GitHub Action을 버전 6.0.0 이상으로 업그레이드
🔧 검증 코드
4.0.0~5.x.x 버전이 출력되면 취약하며, 6.0.0 이상으로 업그레이드 필요
grep -oE 'sonarqube.*@[0-9]+\.[0-9]+\.[0-9]+' .github/workflows/*.yml 2>/dev/null | grep -oE '@[0-9]+\.[0-9]+\.[0-9]+'