🇰🇷 한글 설명
Allstar GitHub App의 Reviewbot 컴포넌트에서 하드코딩된 공유 시크릿 토큰으로 인바운드 webhook을 검증하는 취약점입니다. 모든 4.5 이전 배포본이 동일한 시크릿을 사용하여 보안이 저하되며, 런타임 재구성이 불가능합니다. Reviewbot 엔드포인트를 노출한 배포는 부정당한 webhook 요청에 노출됩니다.
💡 쉬운 설명
GitHub의 보안을 관리하는 Allstar 앱에서 모든 설치본이 동일한 암호를 사용하여 요청을 검증합니다. 이 암호를 아는 공격자가 위조된 요청을 보낼 수 있습니다.
🇺🇸 원문 (English)
Allstar is a GitHub App to set and enforce security policies. In versions prior to 4.5, a vulnerability in Allstar’s Reviewbot component caused inbound webhook requests to be validated against a hard-coded, shared secret. The value used for the secret token was compiled into the Allstar binary and could not be configured at runtime. In practice, this meant that every deployment using Reviewbot would validate requests with the same secret unless the operator modified source code and rebuilt the component - an expectation that is not documented and is easy to miss. All Allstar releases prior to v4.5 that include the Reviewbot code path are affected. Deployments on v4.5 and later are not affected. Those who have not enabled or exposed the Reviewbot endpoint are not exposed to this issue.
📍 영향받는 시스템
Allstar v4.5 이전의 모든 버전 (Reviewbot 엔드포인트 노출된 배포)
⚔️ 공격 벡터
하드코딩된 공유 시크릿을 이용한 webhook 요청 위조 및 부정당한 이벤트 전달
🛡️ 대응 방법
Allstar을 v4.5 이상으로 업그레이드하거나 Reviewbot 엔드포인트를 비활성화
🔧 검증 코드
출력된 버전 태그가 v4.5 이상이면 안전함. 4.5 미만이거나 미설치이면 즉시 업그레이드 필요.
docker images ghcr.io/ossf/allstar --format "{{.Tag}}" 2>/dev/null | head -1